微信小程序敏感数据解密必须使用openssl_decrypt配合手动PKCS7去填充，$iv和$sessionKey需base64解码为16字节二进制，解密后调用pkcs7_unpad清理填充，再json_decode；sessionKey须由后端通过code向微信接口换取，严禁前端传递，并校验watermark.appid一致性。
微信小程序敏感数据解密必须用 openssl_decrypt，别碰 mcrypt
PHP 7.2+ 已彻底移除 mcrypt 扩展，但很多老教程还在教用 mcrypt_decrypt 解密 encryptedData，直接报 Call to undefined function mcrypt_module_open()。微信官方文档里写的 AES-128-CBC + PKCS7 填充，对应 PHP 就是 openssl_decrypt，且必须手动去除 PKCS7 填充——OpenSSL 不会自动帮你剥掉。
关键点：
-
$iv必须是 base64 解码后的 16 字节二进制字符串（不是 hex，不是原字符串） -
$sessionKey同样要 base64 解码，且长度必须为 16 字节（AES-128） - 解密后得到的是 JSON 字符串，但开头可能有不可见的填充字节，得用
pkcs7_unpad()清理
自己写 pkcs7_unpad 是绕不开的一步
PHP 的 openssl_decrypt 不处理 PKCS7 填充，解出来一堆乱码或 JSON 解析失败（json_last_error() === JSON_ERROR_SYNTAX），大概率是末尾多出 1–16 个相同字节。不能靠 rtrim($data, "\0") 或正则硬砍——那是 PKCS5/PKCS7 混淆导致的典型错误。
正确做法：
function pkcs7_unpad($data) {
$pad = ord($data[strlen($data) - 1]);
if ($pad 16) return false;
if (str_repeat(chr($pad), $pad) !== substr($data, -1 * $pad)) return false;
return substr($data, 0, -1 * $pad);
}
用法示例：
$decrypted = openssl_decrypt(
base64_decode($encryptedData),
'AES-128-CBC',
base64_decode($sessionKey),
OPENSSL_RAW_DATA,
base64_decode($iv)
);
if ($decrypted === false) {
throw new Exception('AES decrypt failed: ' . openssl_error_string());
}
$unpadded = pkcs7_unpad($decrypted);
$userInfo = json_decode($unpadded, true); // 这时才安全
$sessionKey 来源必须是服务端从微信接口换回来的，不能前端传
小程序调用 wx.login() 得到 code，前端把 code 发给你的 PHP 后端；后端再用这个 code 向微信 https://api.weixin.qq.com/sns/jscode2session 换取 session_key 和 openid。如果跳过这步，直接让前端把 session_key 传过来，等于把解密密钥裸奔暴露——微信会拒绝签名验证，且存在严重安全风险。
常见错误：
- 前端用
JSON.stringify把session_key当字符串发过来，没做 base64 编码，后端直接用导致解密失败 - 没校验
appid是否匹配，被恶意构造请求复用他人code - 缓存了
session_key却没设过期时间，微信 2 小时失效，后续解密全跪
手机号解密和用户信息解密流程完全一致，但字段名不同
小程序调用 getPhoneNumber 回调里的 encryptedData 和 iv，和 getUserInfo 的结构一样，只是解密后 JSON 的字段是 phoneNumber、purePhoneNumber、countryCode 等。别以为要换函数或改算法——还是同一套 openssl_decrypt + pkcs7_unpad 流程。
注意两个实际坑点：
- 用户拒授权手机号时，前端根本不会触发成功回调，
encryptedData根本不存在，后端别傻等 - 真机调试时微信开发者工具返回的
encryptedData是假数据，无法解密，必须用体验版或线上版实测
解密后务必校验 watermark.appid 是否与你自己小程序的 appid 一致，防止数据被中转篡改。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
