php敏感数据加密存储需在应用层用aes-256-cbc/gcm加密，每次生成随机iv并明文存储，密钥从环境变量或vault加载且禁止硬编码，密文存text/json字段，逻辑封装为dataencryptor类并配套访问控制与审计。
PHP 中对数据库敏感数据加密存储，核心是“加密在应用层完成，数据库只存密文”，避免依赖数据库自带加密函数（如 MySQL 的 AES_ENCRYPT），确保密钥可控、算法标准、密文可移植。
选对加密方式：优先使用对称加密 + 随机 IV
敏感字段（如身份证号、手机号、银行卡号）推荐使用 AES-256-CBC 或 AES-256-GCM（后者支持认证，更安全）。关键点：
- 必须为每次加密生成唯一随机 IV（初始化向量），不可复用或硬编码
- IV 可明文存储（如与密文拼接或同字段存为 JSON），但不能泄露密钥
- 使用 PHP 7.2+ 的
openssl_encrypt()和openssl_decrypt()，避免已废弃的mcrypt - 密钥建议从环境变量或密钥管理服务（如 HashiCorp Vault）加载，禁止写死在代码中
密钥管理要规范：分环境、限权限、勤轮换
生产环境密钥绝不能和代码一起提交。常见做法：
- 开发/测试用短生命周期密钥，生产用独立强密钥（32 字节随机字符串）
- 密钥文件设为
600权限，Web 进程仅能读取，不被 Web Server 直接访问（如放在/etc/secrets/） - 定期轮换密钥时，需支持双密钥并行解密（旧密钥解密 + 新密钥重加密），避免全量数据停机迁移
字段设计与存储格式要清晰
数据库字段类型建议用 TEXT 或足够长的 VARCHAR（AES-256-CBC 密文长度随原文变化，Base64 后约增加 33%）。推荐结构化存储：
51shop 网上商城系统
下载
51shop 由 PHP 语言开发, 使用快速的 MySQL 数据库保存数据 ,为中小型网站实现网上电子商务提供一个完美的解决方案.一、用户模块1. 用户注册：用户信息包括：用户ID、用户名、用户密码、性别、邮箱、省份、城市、 联系电话等信息，用户注册后不能立即使用，需由管理员激活账号，才可使用（此功能管理员可设置）2. 登录功能3. 资料修改：用户可修改除账号以后的所有资料4. 忘记密码：要求用
立即学习“PHP免费学习笔记（深入）”；
- 单字段存 JSON：
{"iv":"base64iv","ciphertext":"base64cipher"} - 或拆分为两个字段：
phone_iv（BINARY(16)） +phone_enc（TEXT） - 避免对索引字段（如手机号）整体加密后查询——如需模糊查，考虑加盐哈希做辅助索引，或使用可信执行环境（TEE）等进阶方案
加解密逻辑封装成可复用的服务类
把加密逻辑抽离为独立类（如 DataEncryptor），统一处理异常、日志、密钥加载。示例关键逻辑：
- 加密前校验输入非空、长度合理；解密失败时抛出明确异常，不返回 null 或空字符串
- 自动 Base64 编解码，屏蔽底层二进制细节
- 记录加解密耗时（用于监控）、密钥 ID（便于追踪轮换状态）
- 单元测试覆盖边界情况：空字符串、超长文本、错误密钥、篡改 IV 等
不复杂但容易忽略：加密不是银弹，需配合访问控制、审计日志、脱敏展示共同构建数据安全闭环。
