中间件是唯一可行入口点，因加解密必须嵌入请求/响应生命周期：请求解密需在框架解析php://input前完成并用$request->merge()注入数据，响应加密需在jsonresponse中间件之后、输出前读取原始内容、aes加密、重设content-type与content-length。
API接口数据加密传输不能只靠 openssl_encrypt 包一层再 return，否则前端收不到可解析的 JSON，控制器也拿不到解密后的 $_POST——根本原因是加解密没嵌入请求/响应生命周期，而是当成普通函数在控制器里调用。
为什么中间件是唯一可行入口点
ThinkPHP 的 $request->post()、input('post.') 甚至原生 $_POST 都依赖 PHP 自动解析 php://input 流；而加密后的请求体是 base64 + AES 密文，框架直接当无效 JSON 或空数组处理。同理，JsonResponse 中间件会在控制器 return 后自动把数组转成 JSON 并设好 Content-Type: application/json，你再对这个字符串做 AES 加密，前端拿到的就是二进制乱码或嵌套 JSON，根本无法 JSON.parse()。
- 加解密必须发生在框架解析输入流之前（请求）和输出流封装之后、发送之前（响应）
- 中间件的
handle方法是唯一能同时触达$request和$response且时机可控的位置 - 注册顺序关键：解密中间件要排在
think\middleware\JsonResponse之前，否则$request->post()已被解析为 null
请求体解密必须用 $request->merge() 注入
别试图重写 php://input 流——PHP 不允许写入该流，file_put_contents('php://input', ...) 会静默失败。也别只存个临时变量，控制器还是读不到。
- 检查加密标识：通过请求头（如
X-Encrypted: aes-128-cbc）或路径前缀（如/api/v2/secure/）触发解密逻辑 - 解密后必须调用
$request->merge(['post' => $decryptedData])，这样后续所有$this->request->post()、input('post.')才能正常取值 -
$iv必须随密文一起传入（比如 base64 解码后前 16 字节），且每次请求随机生成，严禁复用 - 密钥必须从环境变量加载：
env('API_ENCRYPT_KEY')，绝不能硬编码在代码或配置文件里
响应体加密要绕过 JsonResponse 的自动封装
不能在控制器里 return json_encode(...) 后再加密，那只是对已格式化字符串做二次加工。必须监听 $next($request) 返回的 $response，读原始内容、加密、替换、重设头信息。
- 用
$response->getContent()读取原始响应体，不是json_encode($data)——后者丢状态码、Header 和原始类型 - 加密后调用
$response->content($payload)替换整个响应体 - 必须手动重设
Content-Type（如application/octet-stream或自定义类型application/vnd.api+encrypted），否则前端可能因 MIME 不匹配拒绝处理 - 必须重设
Content-Length：Nginx/Apache 可能因长度不匹配截断响应或启用 chunked 编码，导致前端接收不全
IV 和密钥的安全传递与生成
IV 不是密钥，但同样关键：它必须每次请求随机生成，并和密文拼接后一并传输（比如 base64_encode($iv . $encrypted)），前端解密时再拆分。密钥则永远不出现在前端代码或接口文档中。
-
$iv生成必须用openssl_random_pseudo_bytes(16)，不能用substr(md5(...), 0, 16)这类伪随机方式 - 密钥长度要匹配算法：AES-128-CBC 要 16 字节，AES-256-CBC 要 32 字节；用
strlen(env('API_ENCRYPT_KEY'))校验，避免因空格或换行导致长度错误 - 前端拿到密文后，需先 base64_decode，取前 16 字节为 IV，剩余为密文，再调用
openssl_decrypt - 服务端不要假设所有请求都加密——加解密逻辑必须有明确开关（header/path 白名单），否则静态资源或健康检查接口会崩
最易被忽略的是中间件注册顺序和 Content-Length 的手动更新：前者导致解密失效，后者让响应在网关层就被截断，问题现象是前端偶尔收不到数据或解析报错，排查时容易误判为网络问题。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
