```html

PHP防篡改保护机制：守护关键数据完整性

在Web开发中，用户提交的数据（如订单ID、价格、权限标识）极易被恶意篡改。仅靠前端校验或简单参数传递无法保障安全。PHP需通过服务端防篡改机制，确保关键数据在传输与存储过程中未被非法修改。

核心思路：签名验证（HMAC）

最可靠的方式是为敏感数据附加不可伪造的数字签名。PHP内置的 hash_hmac() 函数可生成基于密钥的消息认证码（HMAC），配合时间戳和随机盐值，有效抵御重放与篡改攻击。

实战示例：防篡改订单参数

<?php
// 【服务端】生成带签名的安全令牌
function generateSecureToken($data, $secretKey) {
    $timestamp = time();
    $salt = bin2hex(random_bytes(8)); // 防止彩虹表攻击
    $payload = json_encode([
        'data' => $data,
        'ts'   => $timestamp,
        'salt' => $salt
    ]);
    
    // 使用 HMAC-SHA256 签名
    $signature = hash_hmac('sha256', $payload, $secretKey);
    
    return base64_encode($payload) . '.' . $signature;
}

// 【服务端】验证并解析令牌
function verifySecureToken($token, $secretKey, $maxAge = 300) {
    if (!str_contains($token, '.')) return false;
    
    [$encodedPayload, $expectedSig] = explode('.', $token, 2);
    $payload = json_decode(base64_decode($encodedPayload), true);
    
    // 签名验证
    $recomputed = hash_hmac('sha256', base64_decode($encodedPayload), $secretKey);
    if (!hash_equals($expectedSig, $recomputed)) {
        return false; // 签名不匹配 → 数据被篡改！
    }
    
    // 时间有效性检查（防重放）
    if (time() - $payload['ts'] > $maxAge) {
        return false;
    }
    
    return $payload['data']; // 返回原始可信数据
}

// 使用示例
$secret = $_ENV['APP_SECRET'] ?? 'your_strong_secret_here'; // 生产环境请存于环境变量
$orderParams = ['order_id' => 12345, 'amount' => 99.99, 'currency' => 'CNY'];

$token = generateSecureToken($orderParams, $secret);
echo "生成令牌: $token\n";

// 模拟客户端提交后服务端验证
$verified = verifySecureToken($token, $secret);
if ($verified) {
    echo "✅ 验证成功，原始数据: " . json_encode($verified);
} else {
    http_response_code(400);
    echo "❌ 令牌无效：可能已被篡改或过期";
}
?>

除HMAC外，还可结合 openssl_encrypt() 对敏感字段加密（如价格），或使用JWT标准库（如 firebase/php-jwt）实现更规范的令牌管理。但无论何种方案，核心原则不变：所有关键业务逻辑必须在服务端完成完整性校验，绝不信任客户端输入。

防篡改不是锦上添花，而是安全底线。用几行严谨的PHP代码，即可为你的应用筑起第一道可信防线。

```