如何在 PHP 应用间安全验证邮件来源（基于数字签名）-php教程-PHP中文网

如何在 PHP 应用间安全验证邮件来源（基于数字签名）

本文介绍使用非对称加密（rsa）为跨服务器邮件通信添加可信签名，通过私钥签名、公钥验签机制确保邮件及附件确实来自指定应用，彻底解决内网环境无法依赖 ip 验证的难题。

本文介绍使用非对称加密（rsa）为跨服务器邮件通信添加可信签名，通过私钥签名、公钥验签机制确保邮件及附件确实来自指定应用，彻底解决内网环境无法依赖 ip 验证的难题。

在分布式 PHP 应用场景中，当一个服务（如订单系统）需向另一服务（如归档系统）发送带附件的邮件，并要求接收方确信该邮件真实源自可信源时，仅靠邮箱地址、HTTP 头或简单哈希（如 MD5 放入邮件主题）是严重不安全的——攻击者可轻易伪造。真正可靠的方案是采用数字签名（Digital Signature），其底层依赖非对称密码学：发送方用私钥签名，接收方用对应公钥验证，无需共享密钥，且不可抵赖。

✅ 核心流程概览

密钥准备：在发送端生成 RSA 密钥对（private.key + public.key）；公钥分发给所有接收方，私钥严格保密。
发送端签名：对附件内容计算哈希（如 md5 或更安全的 sha256），再用私钥对该哈希值进行签名，将 Base64 编码后的签名作为自定义邮件头（如 X-Signature）嵌入。
接收端验签：解析原始邮件，提取附件与 X-Signature 头，重新计算附件哈希，最后用公钥验证签名是否匹配。

? 实现步骤与代码示例

1. 生成密钥对（执行一次，安全保存）

# 生成 2048 位 RSA 私钥（推荐替代 1024，更安全）
openssl genrsa -out private.key 2048
# 提取公钥（分发给接收方）
openssl rsa -in private.key -pubout > public.key

2. 发送端（PHP）：签名并发送

<?php $attachmentPath = '/path/to/report.pdf';
$hash = hash_file('sha256', $attachmentPath); // 推荐 SHA-256 替代 MD5
$key = openssl_pkey_get_private('file://private.key');

if (!$key || !openssl_sign($hash, $signature, $key, OPENSSL_ALGO_SHA256)) {
    throw new Exception('签名失败：' . openssl_error_string());
}
openssl_free_key($key);

// 构建邮件（此处简化，实际需处理 MIME）
$headers = [
    'From: sender@domain.com',
    'X-Signature: ' . base64_encode($signature),
    'X-Hash-Algo: sha256' // 显式声明哈希算法，增强兼容性
];

mail($to, $subject, $body, implode("\r\n", $headers), '-f sender@domain.com');
?>

3. 接收端（PHP）：解析并验签

⚠️ 注意：邮件解析需处理 RFC 5322 原始格式。推荐使用成熟库如 php-mime-mail-parser 或 imap_* 函数。

btpanel phpsite 宝塔面板PHP网站
宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

<?php require_once 'vendor/autoload.php'; // 引入 MIME 解析器
use PhpMimeMailParser\Parser;

$parser = new Parser();
$parser->setPath('/path/to/message.eml'); // 或 setStream(fopen(...))

// 提取附件（假设唯一附件）
$attachments = $parser->getAttachments();
if (empty($attachments)) {
    die('无附件，拒绝处理');
}

$attachment = $attachments[0];
$hash = hash('sha256', $attachment->getContent()); // 与发送端一致算法
$signature = base64_decode($parser->getHeader('x-signature'));
$publicKey = openssl_pkey_get_public('file://public.key');

$verified = openssl_verify($hash, $signature, $publicKey, OPENSSL_ALGO_SHA256);
openssl_free_key($publicKey);

if ($verified === 1) {
    echo "✅ 邮件及附件来源可信，安全处理中...";
    // 执行业务逻辑：保存附件、更新数据库等
} elseif ($verified === 0) {
    throw new Exception('验签失败：签名无效（可能被篡改）');
} else {
    throw new Exception('验签错误：' . openssl_error_string());
}
?>