PHP如何实现数据库字段的敏感数据加密_使用OpenSSL对称加密-php教程-PHP中文网

php用openssl加密数据库字段前必须确认密钥安全获取、iv随机生成并同存、字段长度预留足够；否则解密失败、乱码或查不到数据。

php如何实现数据库字段的敏感数据加密_使用openssl对称加密

PHP用OpenSSL加密数据库字段前必须确认的三件事

直接上 openssl_encrypt() 会出问题——不是加不了密，而是解密失败、乱码、或上线后查不到数据。核心在于：密钥管理、IV复用、以及字段长度是否预留足够空间。

常见错误现象：openssl_decrypt() 返回 false；数据库里存的是空字符串或乱码；同一段明文每次加密结果不同但解密却失败（其实是IV没保存）。

密钥不能硬编码在代码里，至少得从环境变量读取，比如 $_ENV['DB_ENCRYPT_KEY']
IV（初始化向量）必须随机生成、且和密文一起存入数据库（比如新增 phone_iv 字段），不能复用，也不能用固定值
AES-256-CBC 模式下，密文是 base64 编码后的字符串，比原文长约 33%，原字段如果是 VARCHAR(11) 存手机号，加密后至少要扩到 VARCHAR(20) 以上

用AES-256-CBC加密单个字段的最小可行代码

别套封装类，先跑通逻辑。以下代码假设你要加密用户手机号，存在 users.phone_encrypted 和 users.phone_iv 两个字段：

// 生成随机 IV（每次加密都必须新生成）
$iv = openssl_random_pseudo_bytes(openssl_cipher_iv_length('AES-256-CBC'));

// 密钥需为 32 字节（AES-256），建议用 hash 处理原始密钥
$key = substr(hash('sha256', $_ENV['DB_ENCRYPT_KEY'], true), 0, 32);

// 加密（注意：输出是二进制，必须 base64 编码后入库）
$ciphertext = openssl_encrypt($phone, 'AES-256-CBC', $key, OPENSSL_RAW_DATA, $iv);
$encoded_ciphertext = base64_encode($ciphertext);
$encoded_iv = base64_encode($iv);

// 写入数据库
$stmt = $pdo->prepare("UPDATE users SET phone_encrypted = ?, phone_iv = ? WHERE id = ?");
$stmt->execute([$encoded_ciphertext, $encoded_iv, $user_id]);

关键点：OPENSSL_RAW_DATA 必须传，否则 openssl_encrypt() 默认返回 base64，再套一层 base64_encode() 就错了；$iv 和密文必须同生命周期保存，缺一不可。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

解密时最常踩的坑：IV解码失败或密钥不一致

解密失败基本不是算法问题，而是数据“对不上”。尤其要注意 base64 解码顺序和密钥字节长度。

从数据库取出的 phone_iv 和 phone_encrypted 都是 base64 字符串，必须先 base64_decode() 才能传给 openssl_decrypt()
密钥必须和加密时完全一致：同样的原始密钥、同样的 hash 方式、同样取前 32 字节。哪怕多一个空格，解密就返回 false
不要用 mb_strlen() 或 strlen() 检查密文长度——base64 后可能含换行或空格，入库前应 trim()，读取后也应 trim()

$encoded_ciphertext = trim($row['phone_encrypted']);
$encoded_iv = trim($row['phone_iv']);

$ciphertext = base64_decode($encoded_ciphertext);
$iv = base64_decode($encoded_iv);
$key = substr(hash('sha256', $_ENV['DB_ENCRYPT_KEY'], true), 0, 32);

$phone = openssl_decrypt($ciphertext, 'AES-256-CBC', $key, OPENSSL_RAW_DATA, $iv);
// $phone 是 string 或 false，务必检查
if ($phone === false) {
    error_log('Decrypt failed: ' . openssl_error_string());
}