```html

PHP在线加密服务介绍

在Web开发中，敏感数据（如API密钥、用户凭证、配置参数）常需临时加密传输或存储。虽然PHP内置了强大的加密扩展（如 openssl、sodium），但“在线加密服务”并非指将明文发往第三方服务器——而是指基于PHP构建的、部署于自有服务器的安全加密接口，供前端或内部系统调用。

为什么需要自建PHP加密服务？

• 可控性：避免依赖不可信的第三方加密网站（存在明文泄露风险）；
• 合规性：满足GDPR、等保2.0等对数据不出域的要求；
• 集成性：可与现有登录态、审计日志、密钥轮换策略无缝对接。

安全实现示例：AES-256-GCM 加密API

以下是一个轻量、安全的PHP加密服务端示例（需启用 ext-openssl）：

<?php
// encrypt_api.php —— RESTful 加密接口（仅接受POST）
header('Content-Type: application/json; charset=utf-8');
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    http_response_code(405);
    echo json_encode(['error' => 'Method not allowed']);
    exit;
}

// 从环境变量或配置文件加载密钥（严禁硬编码！）
$key = $_ENV['ENCRYPTION_KEY'] ?? 'your-32-byte-secret-key-here-123456789012'; // 32字节用于AES-256
if (strlen($key) !== 32) {
    http_response_code(500);
    echo json_encode(['error' => 'Invalid encryption key length']);
    exit;
}

$data = $_POST['data'] ?? '';
if (empty($data)) {
    http_response_code(400);
    echo json_encode(['error' => 'Missing "data" parameter']);
    exit;
}

// 使用AES-256-GCM加密（带认证，防篡改）
$iv = random_bytes(12); // GCM推荐12字节IV
$ciphertext = openssl_encrypt(
    $data,
    'aes-256-gcm',
    $key,
    OPENSSL_RAW_DATA,
    $iv,
    $tag, // 认证标签（自动输出）
    '', // aad（可选附加数据）
    0 // tag长度默认16字节
);

if ($ciphertext === false) {
    http_response_code(500);
    echo json_encode(['error' => 'Encryption failed']);
    exit;
}

// 返回Base64编码结果（便于HTTP传输）
echo json_encode([
    'ciphertext' => base64_encode($ciphertext),
    'iv'         => base64_encode($iv),
    'tag'        => base64_encode($tag),
    'algorithm'  => 'AES-256-GCM'
]);
?>

📌 提示：生产环境应配合HTTPS、CSRF防护、请求频率限制及密钥管理服务（如HashiCorp Vault）。

客户端调用示例（cURL）

$ curl -X POST https://api.yourdomain.com/encrypt_api.php \
  -d "data=secret_token_abc123" \
  -H "Content-Type: application/x-www-form-urlencoded"
# 响应示例：
# {"ciphertext":"...","iv":"...","tag":"...","algorithm":"AES-256-GCM"}

总结：PHP在线加密服务的本质是将加密能力封装为可控、可审计、可运维的内部API。它不是“魔法黑盒”，而是开发者对安全边界的主动定义。善用现代PHP加密原语（优先选择 sodium_crypto_secretbox()），坚持密钥分离与最小权限原则，方能真正筑牢数据安全防线。

```