首頁 > 文章 > 後端開發 > PHP的openssl加密擴充功能使用總結

PHP的openssl加密擴充功能使用總結

墨辰丷原創: 2018-06-01 17:35:411431瀏覽

本篇文章主要介紹PHP的openssl加密擴充使用總結，有興趣的朋友參考下，希望對大家有幫助。

引言

網路的發展史上，安全性一直是開發者們相當重視的主題，為了實現資料傳輸安全，我們需保證：資料來源（非偽造請求）、資料完整性（沒有被人修改過）、資料隱私（密文，無法直接讀取）等。雖然現在已經有SSL/TLS協議實現的HTTPS協議，但是因在客戶端上依賴瀏覽器的正確實現，而且效率又很低，所以一般的敏感資料（如交易支付資訊等）還是需要我們使用加密方法來手動加密。

雖然對於一般的WEB開發人員來說，大可不必深入了解一些安全相關的底層技術，但學習加密基礎知識，使用現有加密相關工具卻十分必要。由於工作需要，自己看了些加密相關文章，結合自己的使用經歷，完成此文。

加密基礎

在學習如何使用加密之前，我們需要了解一些加密相關的基礎知識。

加密演算法一般分為兩種：對稱加密演算法和非對稱加密演算法。

對稱加密

對稱加密演算法是訊息發送者和接收者使用同一個密匙，發送者使用密匙加密了文件，接收者使用同樣的密匙解密，取得資訊。常見的對稱加密演算法有：des/aes/3des.

對稱加密演算法的特點有：速度快，加密前後檔案大小變化不大，但是密匙的保管是個大問題，因為訊息發送方和接收方任意一方的密匙遺失，都會導致訊息傳輸變得不安全。

非對稱加密

與對稱加密相對的是不對稱加密，非對稱加密的核心思想是使用一對相對的密匙，分為公匙和私匙，私匙自行安全保存，而將公匙公開。公鑰與私鑰是一對，如果用公鑰對資料進行加密，只有用對應的私鑰才能解密；如果用私鑰對資料進行加密，那麼只有用對應的公鑰才能解密。發送資料前只需要使用接收方的公匙加密就行了。常見的非對稱加密演算法有RSA/DSA:

非對稱加密雖然沒有密匙保存問題，但其計算量大，加密速度很慢,有時候我們還需要對大塊資料進行分塊加密。

數位簽章

為了確保資料的完整性，還需要透過雜湊函數計算得到一個雜湊值，這個雜湊值被稱為數位簽章。其特點有：

•無論原始資料是多大，結果的長度相同的；
•輸入一樣，輸出也相同；
•對輸入的微小改變，會使結果產生很大的變化；
•加密過程不可逆，無法透過雜湊值得到原來的資料；

#常見的數位簽章演算法有md5,hash1等演算法。

PHP的openssl擴充

#openssl擴充功能使用openssl加密擴充包，封裝了多個用於加密解密相關的PHP函數，大大方便了資料的加密解密。常用的函數有：

對稱加密相關：

string openssl_encrypt ( string $data , string $method , string $password)

其中$data為其要加密的數據，$method是加密要使用的方法，$password是要使用的密匙，函數傳回加密後的資料；

其中$method列表可以使用openssl_get_cipher_methods()來獲取，我們選取其中一個使用，$method列表形如：

Array(
  0 => aes-128-cbc,  // aes加密
  1 => des-ecb,    // des加密
  2 => des-ede3,   // 3des加密
  ...
  )

其解密函數為string openssl_encrypt ( string $ data , string $method , string $password)

非對稱加密相關：

openssl_get_publickey();openssl_pkey_get_public();   // 从证书导出公匙；
openssl_get_privatekey();openssl_pkey_get_private();  // 从证书导出私匙；

它們都只需要傳入憑證檔案（一般是.pem檔案）；

openssl_public_encrypt(string $data , string &$crypted , mixed $key [, int $padding = OPENSSL\_PKCS1\_PADDING ] )

使用公匙加密資料,其中$data是要加密的資料；$ crypted是一個引用變量，加密後的資料會被放入這個變數中；$key是要傳入的公匙資料；由於被加密資料分組時，有可能不會剛好為加密位數bit的整數倍，所以需要$padding(填充補齊)，$padding的可選項有OPENSSL_PKCS1_PADDING, OPENSSL_NO_PADDING,分別為PKCS1填充，或不使用填充；

#與此方法相對的還有（傳入參數一致）：

openssl_private_encrypt()； // 使用私匙加密；
openssl_private_decrypt()； // 使用私匙解密；
openssl_private_decrypt()； // 使用公匙解密；

還有簽章和驗簽函數：

bool openssl_sign ( string $data , string &$signature , mixed $priv_key_id [, mixed $signature_alg = OPENSSL_ALGO_SHA1 ] )
int openssl_verify ( string $data , string $signature , mixed $pub_key_id [, mixed $signature_alg = OPENSSL_ALGO_SHA1 ] )

签名函数：$data为要签名的数据；$signature为签名结果的引用变量；$priv_key_id为签名所使用的私匙;$signature_alg为签名要使用的算法，其算法列表可以使用<span style="font-family:NSimsun">openssl_get_md_methods ()</span>得到，形如：

array(
  0 => MD5,
  1 => SHA1,
  2 => SHA256,
  ...
)

验签函数：与签名函数相对，只不过它要传入与私匙对应的公匙；其结果为签名验证结果，1为成功，0为失败，-1则表示错误；

加密实例

以下是一个非对称加密使用的小例子：

// 获取公匙
$pub_key = openssl_get_publickey(&#39;test.pem&#39;);

$encrypted = &#39;&#39;;
// 对数据分块加密
for ($offset = 0, $length = strlen($raw_msg); $offset < $length; $offset += $key_size){  
  $encryptedBlock = &#39;&#39;;
  $data = substr($raw_msg, $offset, $key_size)
  if (!openssl_public_encrypt($data, $encryptedBlock, $pub_key, OPENSSL_PKCS1_PADDING)){
    return &#39;&#39;;
  } else {
    $encrypted .= $encryptedBlock;
 }
 return $encrypted;

而对称加密就非常简单了，直接使用ssl_encrypt()函数即可；

当然一些接口可能会对加密方法进行不同的要求，如不同的padding,加密块大小等等，这些就需要使用者自己调整了。

因为我们是在HTTP协议之上处理的数据，所以数据加密完成后，就可以直接发送了，不用再考虑底层的传输，使用cURL或SOAP扩展方法，就可以直接请求接口啦。

结语

密码学是一个十分高深的学科，它理论艰深，概念繁多，作为一个WEB开发人员，虽然不需要我们去研究其底层实现，但是学会使用封装好的方法很有利于我们开发。甚至了解其基本实现，也可以触类旁通，对算法等有新的理解。

以上就是本篇文的全部内容，希望能对大家的学习有所帮助。