应使用OpenSSL或Sodium扩展直接加密字节数组：一、OpenSSL用AES-256-CBC配合random_bytes生成密钥和IV，openssl_encrypt传入原始二进制；二、Sodium用XChaCha20-Poly1305 AEAD加密，自动处理nonce与认证标签；三、仅兼容性受限时才base64编码后再加密；四、禁用md5/sha1等单向哈希函数。
如果您需要对 PHP 中的字节数组进行加密操作，直接对二进制数据调用常规字符串加密函数可能导致乱码、截断或填充异常。以下是针对原始字节数组（如 pack() 生成的 binary string 或 fread() 读取的二进制内容）进行安全加密的多种方法：
一、使用 OpenSSL 扩展进行 AES 加密
OpenSSL 支持对任意二进制数据进行标准对称加密，无需额外编码转换，可原生处理字节数组。需确保已启用 openssl 扩展，并使用 PKCS#7 填充与显式 IV 管理。
1、生成 32 字节随机密钥和 16 字节随机 IV，使用 random_bytes() 函数保证密码学安全性。
2、调用 openssl_encrypt()，参数中明确指定 'AES-256-CBC' 算法、OPENSSL_RAW_DATA 标志，并传入原始字节数组作为输入数据。
立即学习“PHP免费学习笔记（深入）”；
3、将 IV 与密文拼接（例如 IV 在前、密文在后），二者均保持原始二进制格式，不作 base64 编码。
二、使用 Sodium 扩展进行 AEAD 加密
Sodium 提供现代、易用且默认安全的加密接口，sodium_crypto_aead_xchacha20poly1305_ietf_encrypt() 可直接接受字节数组作为消息和附加数据，自动处理 nonce 与认证标签，无需手动填充或 IV 管理。
1、调用 sodium_crypto_aead_xchacha20poly1305_ietf_keygen() 生成 32 字节密钥。
2、使用 random_bytes(24) 生成 24 字节 nonce（XChaCha20-Poly1305 IETF 版本要求）。
3、将原始字节数组作为 $message 参数传入加密函数，$ad 参数可设为空字符串，返回值为包含 nonce 和密文及认证标签的完整二进制字符串。
三、预处理字节数组后使用 base64 安全封装
当目标环境仅支持文本型加密函数（如某些自定义封装函数），可先将字节数组转为 base64 编码字符串，加密后再解码还原；但该方式增加长度且非最优，仅适用于兼容性受限场景。
1、对原始字节数组调用 base64_encode()，获得 ASCII 安全字符串。
2、对该 base64 字符串执行加密（例如使用 openssl_encrypt() 并设置 OPENSSL_ZERO_PADDING 避免二次填充干扰）。
3、加密后结果再次用 base64_decode() 还原为原始字节流，确保输出仍为二进制格式。
四、避免使用 md5、sha1 或 crypt 对字节数组“加密”
md5、sha1、crypt 等函数属于单向散列或传统密码哈希，不具备可逆性，不能用于加密字节数组；若误用将导致数据永久丢失，且无法还原原始内容。
1、确认函数签名是否含 decrypt 对应项，无对应解密函数者一律排除。
2、检查文档中是否明确标注为 encryption/decryption 功能，而非 hashing 或 password hashing。
3、禁用任何以 md5($binary)、sha1($binary) 形式出现的代码路径。
