引言

互聯(lián)網(wǎng)的發(fā)展史上，安全性一直是開發(fā)者們相當重視的一個主題，為了實現(xiàn)數(shù)據(jù)傳輸安全，我們需要保證：數(shù)據(jù)來源（非偽造請求）、數(shù)據(jù)完整性（沒有被人修改過）、數(shù)據(jù)私密性（密文，無法直接讀?。┑?。雖然現(xiàn)在已經(jīng)有SSL/TLS協(xié)議實現(xiàn)的HTTPS協(xié)議，但是因在客戶端上依賴瀏覽器的正確實現(xiàn)，而且效率又很低，所以一般的敏感數(shù)據(jù)（如交易支付信息等）還是需要我們使用加密方法來手動加密。

雖然對于一般的WEB開發(fā)人員來說，大可不必深入了解一些安全相關(guān)的底層技術(shù)，但學習加密基礎(chǔ)知識，使用現(xiàn)有加密相關(guān)工具卻十分必要。由于工作需要，自己看了些加密相關(guān)文章，結(jié)合自己的使用經(jīng)歷，完成此文。

加密基礎(chǔ)

學習如何使用加密之前，我們需要了解一些加密相關(guān)的基礎(chǔ)知識。

加密算法一般分為兩種：對稱加密算法和非對稱加密算法。

對稱加密

對稱加密算法是消息發(fā)送者和接收者使用同一個密匙，發(fā)送者使用密匙加密了文件，接收者使用同樣的密匙解密，獲取信息。常見的對稱加密算法有：des/aes/3des.

對稱加密算法的特點有：速度快，加密前后文件大小變化不大，但是密匙的保管是個大問題，因為消息發(fā)送方和接收方任意一方的密匙丟失，都會導致信息傳輸變得不安全。

非對稱加密

與對稱加密相對的是非對稱加密，非對稱加密的核心思想是使用一對相對的密匙，分為公匙和私匙，私匙自己安全保存，而將公匙公開。公鑰與私鑰是一對，如果用公鑰對數(shù)據(jù)進行加密，只有用對應(yīng)的私鑰才能解密；如果用私鑰對數(shù)據(jù)進行加密，那么只有用對應(yīng)的公鑰才能解密。發(fā)送數(shù)據(jù)前只需要使用接收方的公匙加密就行了。常見的非對稱加密算法有RSA/DSA:

非對稱加密雖然沒有密匙保存問題，但其計算量大，加密速度很慢,有時候我們還需要對大塊數(shù)據(jù)進行分塊加密。

數(shù)字簽名

為了保證數(shù)據(jù)的完整性，還需要通過散列函數(shù)計算得到一個散列值，這個散列值被稱為數(shù)字簽名。其特點有：

•無論原始數(shù)據(jù)是多大，結(jié)果的長度相同的；
•輸入一樣，輸出也相同；
•對輸入的微小改變，會使結(jié)果產(chǎn)生很大的變化；
•加密過程不可逆，無法通過散列值得到原來的數(shù)據(jù)；

常見的數(shù)字簽名算法有md5,hash1等算法。

PHP的openssl擴展

openssl擴展使用openssl加密擴展包，封裝了多個用于加密解密相關(guān)的PHP函數(shù)，極大地方便了對數(shù)據(jù)的加密解密。 常用的函數(shù)有：

對稱加密相關(guān)：

string openssl_encrypt ( string $data , string $method , string $password)

其中$data為其要加密的數(shù)據(jù)，$method是加密要使用的方法，$password是要使用的密匙，函數(shù)返回加密后的數(shù)據(jù)；

其中$method列表可以使用openssl_get_cipher_methods()來獲取，我們選取其中一個使用，$method列表形如：

Array(
  0 => aes-128-cbc,  // aes加密
  1 => des-ecb,    // des加密
  2 => des-ede3,   // 3des加密
  ...
  )

其解密函數(shù)為 string openssl_encrypt ( string $data , string $method , string $password)

非對稱加密相關(guān)：

openssl_get_publickey();openssl_pkey_get_public();   // 從證書導出公匙；
openssl_get_privatekey();openssl_pkey_get_private();  // 從證書導出私匙；

它們都只需要傳入證書文件（一般是.pem文件）；

openssl_public_encrypt(string $data , string &$crypted , mixed $key [, int $padding = OPENSSL\_PKCS1\_PADDING ] )

使用公匙加密數(shù)據(jù),其中$data是要加密的數(shù)據(jù)；$crypted是一個引用變量，加密后的數(shù)據(jù)會被放入這個變量中；$key是要傳入的公匙數(shù)據(jù)；由于被加密數(shù)據(jù)分組時，有可能不會正好為加密位數(shù)bit的整數(shù)倍，所以需要$padding(填充補齊)，$padding的可選項有 OPENSSL_PKCS1_PADDING, OPENSSL_NO_PADDING,分別為PKCS1填充，或不使用填充；

與此方法相對的還有（傳入?yún)?shù)一致）：

openssl_private_encrypt()； // 使用私匙加密；
openssl_private_decrypt()； // 使用私匙解密；
openssl_private_decrypt()； // 使用公匙解密；

還有簽名和驗簽函數(shù)：

bool openssl_sign ( string $data , string &$signature , mixed $priv_key_id [, mixed $signature_alg = OPENSSL_ALGO_SHA1 ] )
int openssl_verify ( string $data , string $signature , mixed $pub_key_id [, mixed $signature_alg = OPENSSL_ALGO_SHA1 ] )

簽名函數(shù)：$data為要簽名的數(shù)據(jù)；$signature為簽名結(jié)果的引用變量；$priv_key_id為簽名所使用的私匙;$signature_alg為簽名要使用的算法，其算法列表可以使用openssl_get_md_methods ()得到，形如：

array(
  0 => MD5,
  1 => SHA1,
  2 => SHA256,
  ...
)

驗簽函數(shù)：與簽名函數(shù)相對，只不過它要傳入與私匙對應(yīng)的公匙；其結(jié)果為簽名驗證結(jié)果，1為成功，0為失敗，-1則表示錯誤；

加密實例

以下是一個非對稱加密使用的小例子：

// 獲取公匙
$pub_key = openssl_get_publickey('test.pem');

$encrypted = '';
// 對數(shù)據(jù)分塊加密
for ($offset = 0, $length = strlen($raw_msg); $offset < $length; $offset += $key_size){  
  $encryptedBlock = '';
  $data = substr($raw_msg, $offset, $key_size)
  if (!openssl_public_encrypt($data, $encryptedBlock, $pub_key, OPENSSL_PKCS1_PADDING)){
    return '';
  } else {
    $encrypted .= $encryptedBlock;
 }
 return $encrypted;

而對稱加密就非常簡單了，直接使用ssl_encrypt()函數(shù)即可；

當然一些接口可能會對加密方法進行不同的要求，如不同的padding,加密塊大小等等，這些就需要使用者自己調(diào)整了。

因為我們是在HTTP協(xié)議之上處理的數(shù)據(jù)，所以數(shù)據(jù)加密完成后，就可以直接發(fā)送了，不用再考慮底層的傳輸，使用cURL或SOAP擴展方法，就可以直接請求接口啦。

結(jié)語

密碼學是一個十分高深的學科，它理論艱深，概念繁多，作為一個WEB開發(fā)人員，雖然不需要我們?nèi)パ芯科涞讓訉崿F(xiàn)，但是學會使用封裝好的方法很有利于我們開發(fā)。甚至了解其基本實現(xiàn)，也可以觸類旁通，對算法等有新的理解。

以上這篇PHP的openssl加密擴展使用小結(jié)(推薦)就是小編分享給大家的全部內(nèi)容了，希望能給大家一個參考，也希望大家多多支持腳本之家。

最新評論