Workerman4WebSocket 消息加密，消息传输 AES 加密解密代码示例-php教程-PHP中文网

workerman需在应用层实现aes-gcm端到端加密：服务端用rsa私钥解密前端传来的aes密钥，再以该密钥、随机12字节iv、aad调用openssl_decrypt解密；下行消息同理加密并分离tag传输；密钥须按连接隔离、会话级生命周期管理。

workerman4websocket 消息加密，消息传输 aes 加密解密代码示例

Workerman 本身不内置消息加解密逻辑，WebSocket 消息加密必须在应用层实现。用 AES 对称加密处理高频消息体，是最实用、低开销的选择——前提是密钥安全分发、IV 不复用、模式选对（推荐 AES-GCM）。下面给出可直接集成到 Workerman WebSocket 服务中的 PHP 端 AES 加解密代码示例，配合前端 Web Crypto API 使用。

AES-GCM 加密：服务端接收并解密前端消息

假设前端使用 window.crypto.subtle 生成随机 256 位 AES 密钥 + 12 字节 IV，用 AES-GCM 加密消息体，并将 encryptedKey（已用服务端 RSA 公钥加密）、iv、data、tag 一并发送。服务端收到后需：

先用私钥解密出 AES 密钥（此步依赖 RSA 解密库，如 phpseclib 或 openssl_private_decrypt）
再用该密钥 + IV + tag 对 data 执行 AES-GCM 解密

以下是解密核心片段（PHP 8.1+，启用 OpenSSL）：

WebSocket 8.18.2

WebSocket 8.18.2 是该协议规范的一个重要迭代版本，主要优化了连接稳定性与数据传输效率。它通过全双工通信机制，允许客户端与服务器在单一长连接上实时交换数据，大幅降低传统 HTTP 轮询的开销。该版本增强了心跳保活、自动重连及二进制帧传输能力，适用于即时通讯、在线游戏及金融行情推送等低延迟场景，为开发者提供更可靠的实时网络交互基础。

下载

// 假设 $payload = ['iv' => base64, 'data' => base64, 'tag' => base64]
$iv = base64_decode($payload['iv']);
$ciphertext = base64_decode($payload['data']);
$tag = base64_decode($payload['tag']);
$aad = $payload['aad'] ?? ''; // 可选附加认证数据，如 client_id + timestamp

// $aesKey 是从 RSA 解密后得到的 32 字节原始密钥（二进制）
$decrypted = openssl_decrypt(
    $ciphertext . $tag,
    'aes-256-gcm',
    $aesKey,
    OPENSSL_RAW_DATA,
    $iv,
    $tag,
    $aad
);

if ($decrypted === false) {
    throw new Exception('AES-GCM decryption failed: ' . openssl_error_string());
}

$message = json_decode($decrypted, true); // 得到原始业务数据

AES-GCM 加密：服务端向客户端回传加密消息

服务端需为每条下行消息生成新 IV，用同一会话 AES 密钥加密，并附带认证标签。注意：绝不能复用 IV，且 GCM 模式下 tag 必须与密文一同传输。

IV 长度固定为 12 字节（96 bit），用 random_bytes(12) 生成
加密前将业务数据 json_encode 成 UTF-8 字符串，再转为二进制
openssl_encrypt 返回的是密文+tag 的拼接结果，需手动分离

$plaintext = json_encode(['type' => 'msg', 'content' => 'hello'], JSON_UNESCAPED_UNICODE);
$iv = random_bytes(12);
$aad = 'server-to-client'; // 可选，用于校验方向或时效性

$encrypted = openssl_encrypt(
    $plaintext,
    'aes-256-gcm',
    $aesKey, // 同一会话密钥，来自前端 RSA 加密传递
    OPENSSL_RAW_DATA,
    $iv,
    $tag, // 输出参数，接收认证标签
    $aad
);

if ($encrypted === false) {
    throw new Exception('Encryption failed');
}

$response = [
    'iv'   => base64_encode($iv),
    'data' => base64_encode($encrypted),
    'tag'  => base64_encode($tag),
    'aad'  => $aad
];
$connection->send(json_encode($response, JSON_UNESCAPED_UNICODE));

密钥生命周期管理要点

Workerman 是常驻进程，但每个 WebSocket 连接应有独立密钥上下文。避免全局静态密钥变量，推荐以下方式绑定：

连接建立时，通过 HTTP 接口或 URL 参数（如 wss://host/ws?token=xxx）获取用户 session ID
用 session ID 或 connection ID 作为 key，将 AES 密钥存入内存缓存（如 $_SESSION 不适用，可用 Swoole\Table 或 Redis）
连接关闭时主动清理对应密钥，防止内存泄漏和密钥残留
密钥有效期建议设为单次会话，不跨重连复用