url传递openssl加密字符串时，base64编码中的+符号会被浏览器或服务器误解析为空格，导致解密失败；正确做法是对加密结果执行urlencode()编码、接收时用urldecode()还原，而非更换加密算法。
在Web开发中，将加密数据作为URL参数传递是常见需求，但需特别注意URL编码规范与加密输出格式的兼容性。OpenSSL的openssl_encrypt()默认返回Base64编码字符串（如BNrdu+t/YVgefLcrCxmuug==），而Base64标准中+、/和=具有特殊含义——其中+在URL查询字符串中被明确定义为“空格”的等价符号（依据RFC 3986及HTML表单编码规范）。因此，当该字符串直接拼入URL并经由$_GET或$_REQUEST读取时，+已被中间层（如Web服务器、PHP CGI SAPI）自动转换为空格，造成原始密文损坏，后续openssl_decrypt()必然失败。
✅ 正确处理流程如下（无需更换加密算法）：
-
发送端：先加密，再URL编码
对openssl_encrypt()的输出立即调用urlencode()，确保所有特殊字符（+、/、=等）被安全转义：
$passphrase = "testte@t";
$cipher = "bf-cbc"; // 推荐显式使用 'bf-cbc' 而非模糊的 'blowfish'
$id = "20220228-12";
// 使用强初始化向量（IV）提升安全性（生产环境必需）
$ivlen = openssl_cipher_iv_length($cipher);
$iv = openssl_random_pseudo_bytes($ivlen);
$enc_str = openssl_encrypt($id, $cipher, $passphrase, OPENSSL_RAW_DATA, $iv);
// Base64编码 + URL编码（两步不可省略）
$enc_b64 = base64_encode($iv . $enc_str); // 将IV与密文合并编码，便于解密时复用
$enc_url = urlencode($enc_b64);
$url = "https://example.com/?p={$enc_url}";
echo $url;
// 输出示例：https://example.com/?p=ZGFiY2RlZmdoaWprbG1ub3BxcnN0dXZ3eHl6MTIzNDU2Nzg5MA%3D%3D? 注：openssl_encrypt()默认返回Base64，但为明确控制编码流程，建议使用OPENSSL_RAW_DATA标志获取二进制密文，再手动base64_encode()——此举可避免隐式编码歧义，且便于嵌入IV。
-
接收端：先URL解码，再Base64解码，最后解密
严格按相反顺序还原：
$enc_url = $_GET['p'] ?? '';
$enc_b64 = urldecode($enc_url);
// 验证Base64格式有效性（防御恶意输入）
if (!preg_match('/^[a-zA-Z0-9\/\+=]*$/', $enc_b64)) {
die('Invalid encrypted parameter');
}
$enc_data = base64_decode($enc_b64);
if ($enc_data === false) {
die('Base64 decode failed');
}
// 提取IV（假设IV长度为8字节，Blowfish-CBC标准）
$ivlen = 8;
$iv = substr($enc_data, 0, $ivlen);
$ciphertext = substr($enc_data, $ivlen);
$decrypted = openssl_decrypt($ciphertext, 'bf-cbc', 'testte@t', OPENSSL_RAW_DATA, $iv);
if ($decrypted === false) {
die('Decryption failed: ' . openssl_error_string());
}
echo "Decrypted ID: " . htmlspecialchars($decrypted); // 输出：20220228-12⚠️ 关键注意事项：
- 绝不跳过urlencode()/urldecode()：这是解决+丢失问题的唯一标准方案，更换算法（如AES）无法规避Base64的固有特性。
- 必须携带IV：Blowfish-CBC等分组密码要求每次加密使用唯一IV，且解密时需原样提供；推荐将IV与密文拼接后统一编码传输。
- 避免弱密钥："testte@t"仅为示例，生产环境应使用random_bytes()生成高熵密钥，并通过密钥派生函数（如hash_pbkdf2）增强。
- HTTPS强制启用：URL参数即使加密，仍可能被代理、日志或Referer泄露，务必全程使用HTTPS。
综上，问题本质是URL编码规范与Base64字符集的冲突，而非Blowfish算法缺陷。通过标准化的urlencode()/urldecode()链路，即可安全、可靠地传递任意加密字符串——简洁、通用，且完全兼容现有OpenSSL生态。
