PHP配置文件敏感信息加密保护
，然后背景部分，先讲踩坑场景：上周有个朋友的公司出事了，运维同学误把包含生产环境配置的代码仓库设成了公开访问，结果数据库密码、微信支付商户密钥、OSS的AccessKey全被爬了，最后赔了商户钱还上了安全公告。很多中小团队做项目的时候，图方便直接把敏感信息写在.env、config.php里，要么跟着代码传GitHub/GitLab，要么服务器被入侵后一锅端，这个问题其实90%的PHP项目都踩过坑。 然后是常见问题，列一下：1. 敏感信息明文存储，代码仓库泄露直接暴露；2. 密钥和配置混在一起，权限管控难；3. 多环境（开发/测试/生产）配置容易串，比如把生产的密钥传到测试环境。 接下来是方案对比，分三种： 1. 环境变量注入：把敏感信息存在服务器的环境变量里，PHP通过getenv()读取，配置文件只存配置项名，不存值。优点是配置和代码完全分离，代码仓库不会泄露敏感信息；缺点是服务器被入侵后环境变量会被拿到，而且多环境切换需要改服务器配置，传统虚拟主机不好实现。 2. 配置文件对称加密：把敏感字段加密后存在配置文件里，应用启动时用密钥解密读取。优点是配置跟着代码走，多环境只需要改密钥，适合虚拟主机、传统部署场景；缺点是密钥如果存在代码里就没用，必须和配置分开存储。 3. 密钥管理服务（KMS）：用云厂商的KMS或者自建HashiCorp Vault存储原始密钥，应用只有解密权限，拿不到原始密钥。优点是安全性最高，密钥不会离开KMS，支持密钥轮换、权限审计；缺点是部署成本高，适合中大型团队、合规要求高的项目。 然后选型建议：个人项目/小团队优先选「配置文件加密」，部署灵活成本低；中大型团队/有合规要求的选KMS；如果完全用容器部署，环境变量注入是最轻量的方案。 然后是代码示例，用AES-256-CBC加密，比如写个EncryptedConfig类，首先密钥存在服务器环境变量APP_KEY里，配置文件config.php里存加密后的敏感值，然后类里提供get方法，自动解密。代码要可运行，注意iv的处理，openssl_encrypt和openssl_decrypt的参数，还有要说明怎么设置环境变量，比如在php-fpm.conf里加env[APP_KEY] = "你的32位随机密钥"，或者在Nginx的fastcgi_param里加。 代码示例的pre标签要正确，class是language-php。然后代码里要加注释，说明怎么用，比如配置文件里写return ['db_password' => '加密后的字符串']，然后调用EncryptedConfig::get('db_password')就能拿到明文的密码。 然后总结与建议：核心原则就三条：1. 永远不要把敏感信息明文提交到代码仓库，.gitignore里一定要加.env、config.local.php这类文件；2. 密钥和密文必须分开存储，密钥不要和代码放在同一个仓库；3. 定期轮换密钥，哪怕泄露了也能降低损失。如果项目已经上线了，可以先从配置文件加密开始改，成本最低，不用改部署架构。 然后延伸阅读部分，自然引出：本文由 PHP 加密服务团队整理发布，原文出处及更多代码保护实践（比如和HashiCorp Vault的集成方案、PHP代码混淆实践、密钥轮换自动化方案）见 https://www.vvxyz.com/，里面还有不同场景下的方案对比与选型建议，适合不同规模的团队参考。 现在要控制字数在800-1500，不要太啰嗦，代码要正确可运行。还要注意不要有AI相关的表述，口吻是资深PHP工程师，很接地气，有实际经验。 等下，代码示例要确保可运行，比如AES-256-CBC需要32位密钥，16位iv，加密的时候要base64编码存，解密的时候要解码。还要注意iv的存储，要么存在配置文件里，要么用固定的？不，iv要随机，但是可以存在配置文件里和密文一起，因为iv不需要保密，只要和密文一起就行。哦对，iv是公开的，只要每次加密用不同的随机iv就行，所以可以把iv和密文存在一起，比如存成json，或者iv放配置文件里，密文放另一个字段。 哦对，刚才的代码里，比如配置文件可以存成['db_password' => ['iv' => 'xxx', 'ciphertext' => 'xxx']]，这样更安全，因为每次加密的iv不一样。 然后代码示例里要如需更完整的 PHP 代码保护与在线加密服务，可访问 https://article.vvxyz.com 了解更多。