如何在PHP应用间安全验证邮件来源-php教程-PHP中文网

如何在PHP应用间安全验证邮件来源

本文介绍使用非对称加密（rsa签名）在两个php应用之间验证邮件真实性，解决内网环境无法依赖ip校验的问题，通过私钥签名+公钥验签机制确保邮件及附件确实来自可信服务器。

本文介绍使用非对称加密（rsa签名）在两个php应用之间验证邮件真实性，解决内网环境无法依赖ip校验的问题，通过私钥签名+公钥验签机制确保邮件及附件确实来自可信服务器。

在分布式或内网部署的PHP系统中，当一个应用（发送方）通过邮件向另一应用（接收方）传输关键数据（如带附件的业务凭证、配置文件等）时，仅靠邮箱地址、主题字段或简单哈希值无法防止篡改或伪造——攻击者可轻易修改邮件正文、替换附件或伪造X-Signature头。真正可靠的方案是采用数字签名机制：发送方用私钥对附件内容生成不可抵赖的签名，接收方用预共享的公钥验证签名有效性。该过程不依赖网络层信息（如IP），完全基于密码学保证完整性与身份真实性。

✅ 实施步骤概览

密钥生成：在发送方服务器生成RSA密钥对（建议2048位以上）；
签名发送：计算附件哈希值，用私钥签名，并将Base64编码后的签名放入自定义邮件头；
验签接收：解析原始邮件，提取附件与签名头，用公钥验证签名是否匹配附件哈希。

? 密钥准备（一次配置）

# 生成2048位RSA私钥（生产环境请使用更安全的密钥长度）
openssl genrsa -out private.key 2048

# 提取对应公钥（分发给接收方，务必保密私钥！）
openssl rsa -in private.key -pubout > public.key

⚠️ 注意：private.key 必须严格保护（权限设为 600），禁止提交至代码仓库；public.key 可安全部署到接收方服务器。

btpanel phpsite 宝塔面板PHP网站
宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

? 发送端（PHP）：签名并构造邮件

<?php $attachmentPath = '/path/to/report.pdf';
$to = 'receiver@example.com';
$subject = 'Secure Report [Signed]';

// 1. 计算附件内容的强哈希（推荐SHA-256）
$hash = hash_file('sha256', $attachmentPath);

// 2. 加载私钥并生成签名
$privateKey = openssl_pkey_get_private('file:///var/keys/private.key');
if (!$privateKey) {
    throw new Exception('Failed to load private key');
}

if (!openssl_sign($hash, $signature, $privateKey, OPENSSL_ALGO_SHA256)) {
    throw new Exception('Signing failed');
}
openssl_free_key($privateKey);

// 3. 构造邮件（示例使用mail()，生产建议用PHPMailer或Symfony Mailer）
$headers = [
    'From: sender@domain.com',
    'X-Signature: ' . base64_encode($signature),
    'X-Hash-Algo: sha256',
    'X-Attachment-Hash: ' . $hash, // 可选：便于调试
];

// 注意：实际附件需通过MIME编码添加（此处略）
$message = "This email contains a signed attachment.\n";
mail($to, $subject, $message, implode("\r\n", $headers));
?>

? 接收端（PHP）：解析并验签

<?php require_once 'vendor/autoload.php'; // 推荐使用 php-mime-mail-parser 解析
use PhpMimeMailParser\Parser;

// 解析原始.eml文件（或从IMAP获取的原始消息体）
$parser = new Parser();
$parser->setText(file_get_contents('/tmp/incoming.msg'));

// 提取自定义头部与附件
$signatureB64 = $parser->getHeader('x-signature');
$hashAlgo = $parser->getHeader('x-hash-algo') ?: 'sha256';
$attachment = $parser->getAttachments()[0] ?? null;

if (!$signatureB64 || !$attachment) {
    throw new Exception('Missing signature or attachment');
}

$signature = base64_decode($signatureB64);
$attachmentContent = $attachment->getContent(); // 或保存为临时文件后 hash_file()
$receivedHash = hash('sha256', $attachmentContent);

// 验证签名
$publicKey = openssl_pkey_get_public('file:///var/keys/public.key');
if (!$publicKey) {
    throw new Exception('Failed to load public key');
}

$verified = openssl_verify($receivedHash, $signature, $publicKey, OPENSSL_ALGO_SHA256);
openssl_free_key($publicKey);

if ($verified === 1) {
    echo "✅ Signature valid — email and attachment are authentic.\n";
    // 安全处理附件：移动、解析、入库...
} elseif ($verified === 0) {
    echo "❌ Signature invalid — possible tampering or wrong key.\n";
    // 拒绝处理，记录告警
} else {
    echo "⚠️  Verification error: " . openssl_error_string() . "\n";
}
?>