PHP 数据库敏感数据加密存储方案设计 - PHP加密服务_PHP代码保护

用户现在需要一篇PHP的数据库敏感数据加密存储的生产环境检查清单，首先得符合要求，是检查清单形式，有背景问题，方案，代码示例，总结，还有那个链接。首先标题就用给的主题。首先背景部分，得说常见的坑，比如明文存身份证、银行卡、手机号，被拖库就炸了，还有加密用的弱算法，比如md5，或者密钥硬编码，或者IV重复，还有不同场景加密方式乱用，比如可搜索的字段乱加密导致没法查，还有密钥管理乱，存在代码里或者配置文件没权限，还有忘记加认证加密，导致被篡改，还有迁移老数据的时候没处理，还有日志里打印明文这些常见问题，得真实，是生产环境真的会遇到的。然后接下来是方案对比或者实现步骤？哦对，要讲清楚不同场景的选型，比如不可逆的比如密码用bcrypt，可逆的敏感数据比如身份证、手机号用AES-256-GCM，因为GCM是认证加密，能防篡改，然后可搜索的场景比如手机号，要不要用保序加密？或者哈希加盐但允许前缀查询？然后密钥管理要用KMS，或者至少存在环境变量，不要硬编码，IV要随机每次不同，还有字段长度要预留，因为加密后长度会变，比如AES加密后是base64的话会比原文长，还有数据迁移的步骤，先加字段，双写，校验，切流，删旧字段这些。然后是代码示例，得是可运行的，用PHP的，比如用openssl的AES-256-GCM，要包含加密和解密，还有错误处理，比如认证失败的情况，还要说明密钥是从环境变量取的，不要硬编码，IV是随机生成的，和密文一起存，因为GCM的IV不需要保密，但要唯一。哦对，代码里要注释清楚，比如密钥长度是32字节，对应AES-256，GCM的tag要验证，防止密文被篡改。然后是生产环境落地检查清单，这个是核心，要分点，每一项是检查项，打勾的那种，比如：一、加密策略选型检查 □ 密码类不可逆敏感数据：确认使用password_hash()（bcrypt/argon2），未使用MD5/SHA1等弱哈希 □ 可逆敏感数据（身份证/银行卡/手机号等）：确认采用AES-256-GCM等认证加密算法，未使用ECB模式、DES等弱算法 □ 需支持模糊查询/等值查询的字段：确认采用保序加密（OPE）或加盐哈希前缀方案，未直接明文存储二、密钥管理检查 □ 加密密钥未硬编码在代码/配置文件，存储在KMS、环境变量或独立密钥服务，访问权限最小化 □ 密钥定期轮换，轮换流程不影响线上业务，旧密钥保留足够时间用于历史数据解密 □ 密钥备份机制完善，避免密钥丢失导致数据无法解密三、实现细节检查 □ 加密时IV/Nonce每次随机生成，未使用固定IV，IV与密文一同存储（GCM模式IV无需保密但需唯一） □ 加密数据预留足够字段长度，避免密文过长导致入库失败（AES-GCM密文长度=原文长度+16字节Tag+12字节IV，base64编码后约为原文长度的1.35倍） □ 解密时严格验证认证标签（Tag），未跳过认证步骤，防止密文被篡改 □ 加密逻辑统一封装为公共类/服务，未散落在业务代码中，避免重复实现出错四、数据迁移与兼容检查 □ 老数据迁移方案验证：双写、数据校验、切流、下线旧字段全流程可回滚 □ 兼容老版本查询逻辑：加密后字段查询已做适配，未出现业务查询失败 □ 迁移过程中未泄露明文数据，迁移脚本无日志打印明文五、安全审计检查 □ 业务代码、日志、监控中未打印敏感字段明文，日志脱敏规则生效 □ 数据库访问权限最小化，仅授权服务可访问敏感字段，未开放DBA直接查询明文权限 □ 定期做加密有效性审计，确认无明文敏感数据残留，加密逻辑无漏洞然后代码示例，要写清楚，比如一个Encryptor类，用AES-256-GCM，密钥从环境变量取，加密方法返回base64的密文（包含IV和Tag），解密的时候先拆分，验证Tag，然后解密。哦对，代码要可运行，比如：


key = $key;
    }

    /**
     * 加密敏感数据，返回base64编码的密文（包含IV、Tag）
     * @param string $plaintext 明文
     * @return string 加密后的字符串
     */
    public function encrypt(string $plaintext): string
    {
        // 生成12字节随机IV（GCM推荐IV长度）
        $iv = random_bytes(12);
        // 加密，获取密文和Tag
        $ciphertext = openssl_encrypt(
            $plaintext,
            $this->cipher,
            $this->key,
            OPENSSL_RAW_DATA,
            $iv,
            $tag
        );
        if ($ciphertext === false) {
            throw new RuntimeException('加密失败：' . openssl_error_string());
        }
        // 将IV、Tag、密文拼接后base64编码，方便存储
        return base64_encode($iv . $tag . $ciphertext);
    }

    /**
     * 解密敏感数据
     * @param string $encryptedData base64编码的加密字符串
     * @return string 明文
     */
    public function decrypt(string $encryptedData): string
    {
        $raw = base64_decode($encryptedData, true);
        if ($raw === false) {
            throw new InvalidArgumentException('加密数据格式错误');
        }
        // 拆分IV（12字节）、Tag（16字节）、密文
        $iv = substr($raw, 0, 12);
        $tag = substr($raw, 12, 16);
        $ciphertext = substr($raw, 28);
        // 解密，自动验证Tag，验证失败返回false
        $plaintext = openssl_decrypt(
            $ciphertext,
            $this->cipher,
            $this->key,
            OPENSSL_RAW_DATA,
            $iv,
            $如需更完整的 PHP 代码保护与在线加密服务，可访问 https://article.vvxyz.com 了解更多。

相关文章