phpopenssl扩展怎么配置_https与加密功能【教程】-php教程-PHP中文网

php的openssl扩展需同时满足扩展已加载、密钥可用、证书链可信三条件；否则https请求、加密函数等均会失败，须逐项验证配置、ca路径、iv/密钥长度及pem格式。

phpopenssl扩展怎么配置_https与加密功能【教程】

PHP 的 openssl 扩展不是“配好就能用”的功能模块，它必须同时满足三个硬性条件：扩展已加载、私钥/公钥可用、证书链可信。缺一不可，否则 file_get_contents("https://...") 会报 SSL operation failed，openssl_encrypt() 会返回 false，openssl_pkey_new() 可能静默失败。

确认 openssl 扩展是否真正启用

很多人改了 php.ini 就以为完事了，但常见错误是：扩展名写错（比如写成 extension=php_openssl.dll 而不是 extension=openssl）、路径不对、或 Apache/Nginx 加载的是另一个 php.ini。最可靠的验证方式是运行：

<?php var_dump(extension_loaded('openssl')); ?>

返回 bool(true) 才算通过。如果为 false，检查：
• Windows 下确认 php_openssl.dll 文件在 ext/ 目录存在；
• Linux/macOS 下确认 openssl.so 已编译并路径正确；
• 用 php --ini 命令确认实际加载的配置文件位置，别改错了文件。

HTTPS 请求失败：常见于证书验证环节

file_get_contents("https://api.example.com") 报错 Unable to set private key file 或 SSL certificate problem: unable to get local issuer certificate，本质是 PHP 不信任目标站点的证书链。解决方法分两类：

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

开发环境临时绕过（仅限测试）：在 stream_context_create() 中加 'ssl' => ['verify_peer' => false, 'verify_peer_name' => false] —— 但生产环境绝对禁用；
生产环境正确做法：下载权威 CA 包（如 cacert.pem），然后在 php.ini 中设置：openssl.cafile="/path/to/cacert.pem；或者在代码中通过 stream_context_set_option($ctx, 'ssl', 'cafile', '/path/to/cacert.pem') 指定。

注意：Windows 下若用 WAMP/MAMP，有时默认 CA 路径指向系统目录（如 C:\windows\system32\curl-ca-bundle.crt），但该文件可能已过期或缺失，手动指定更稳妥。

对称加密 `openssl_encrypt()` 失败的几个关键点

这个函数看似简单，但参数顺序、IV 长度、密钥长度都极易出错：

$method 必须严格匹配 openssl_get_cipher_methods() 返回的值，比如 aes-256-cbc（小写、带连字符），写成 AES256CBC 或 aes256 都会返回 false；
$iv 长度必须等于 openssl_cipher_iv_length($method)，例如 aes-256-cbc 要求 IV 长度为 16 字节，用 openssl_random_pseudo_bytes(16)，少一字节也不行；
$password 不是“随便设的字符串”——它会被内部用 PBKDF2 衍生密钥，但不同 PHP 版本处理逻辑有差异；更可控的做法是先用 openssl_digest() 或 hash_pbkdf2() 生成固定长度密钥（如 32 字节用于 aes-256），再传入；
加密后数据是二进制，若要存储或传输，务必用 base64_encode() 编码；解密前必须 base64_decode()，漏掉这步会解密失败且无提示。

非对称加密生成密钥对时的典型陷阱

openssl_pkey_new() 看似一行调用，但背后依赖 OpenSSL 配置和权限：

私钥生成后必须用 openssl_pkey_export() 导出为 PEM 字符串，直接 var_dump($res) 只能看到 Resource id #n，毫无用处；
导出的私钥默认不带密码保护，若需加密（如 -des3），得用 openssl_pkey_export($res, $out, 'passphrase')，但后续 openssl_pkey_get_private() 就必须传入相同密码，否则返回 false；
公钥不能“另存为”，必须从私钥资源中提取：$pub = openssl_pkey_get_details($res)['key']；手动生成的 public.key 文件若格式不对（比如少了 -----BEGIN PUBLIC KEY----- 头尾），openssl_pkey_get_public() 会静默失败；
Windows 下若用 Git Bash 或 MSYS2 运行 OpenSSL 命令生成密钥，生成的文件换行符可能是 LF，而某些 PHP 环境（尤其老版本 IIS）只认 CRLF，导致读取失败——用 Notepad++ 切换编码可快速验证。