PHP教程之PHP 数据加密

学会了PHP，那么学其他的语言，肯定速成，反过来也一样，如果你之前学过其他的语言，那么学PHP肯定快。加密|数据   数据加密在咱们生涯中的位置已愈来愈主要了，特别是思索到在收集上产生的大批 买卖和传输的大批数据。假如关于采取平安办法有乐趣的话，也必定会有乐趣懂得PHP供应的一系列平安功效。在本篇文章中，咱们将引见这些 功效，供应一些根基的用法，以便你可以为本人的使用软件中增添平安功效。

准备常识
在具体引见PHP的平安功效之 前，咱们需求花点工夫来向没有接触过这方面内容的读者引见一些有关暗码学的根基常识，假如对暗码学的根基概念已十分熟习，就能够跳 曩昔这一局部。

暗码学可以浅显地被描写为对加/解密的研讨和实行，加密是将易懂的材料转换为不容易懂材料的进程，解密 则是将不容易懂的材料转换为本来易懂材料的进程。不容易懂的材料被称作暗码，易懂的材料被称作密码。

数据的加/解密都需 要必定的算法，这些算法可以十分地复杂，如有名的凯撒码，但以后的加密算法要绝对庞杂很多，个中一些使用现有的办法乃至是没法破译的 。

PHP的加密功效
只需有一点利用非Windows平台经历的人能够对crypt()也相当熟习，这一函数完成被称作单向加密 的功效，它可以加密一些密码，但不克不及够将暗码转换为本来的密码。虽然从外表下去看这仿佛是一个没有甚么用途的功效，但它切实其实被普遍用 来包管体系暗码的完全性。由于，单向加密的口令一旦落入第三方人的手里，因为不克不及被复原为明文，因而也没有甚么大用途。在验证用户输 入的口令时，用户的输出采取的也是单向算法，假如输出与存储的经加密后的口令相婚配，则输出的口信必定是准确的。

PHP一样供应了利用其crypt()函数完成单向加密功效的能够性。我将在这里扼要地引见该函数：

string crypt (string input_string [, string salt])
个中的input_string参数是需求加密的字符串，第二个可选的salt是一个位字串，它可以影响 加密的密码，进一步地扫除被称作估计算进击的能够性。缺省情形下，PHP利用一个2个字符的DES搅扰串，假如你的体系利用的是MD5（我将在 今后引见MD5算法），它会利用一个12个字符的搅扰串。特地说一下，可以经由过程履行上面的号令发明体系将要利用的搅扰串的长度：

print "My system salt size is: ". CRYPT_SALT_LENGTH;
体系也能够撑持其他的加密算法。crypt()撑持四 种算法，上面是它撑持的算法和响应的salt参数的长度：

算法 Salt长度
CRYPT_STD_DES 2-character (Default)
CRYPT_EXT_DES 9-character
CRYPT_MD5 12-character beginning with $
CRYPT_BLOWFISH 16-character beginning with $

用crypt()完成用户身份验证
作为crypt()函数的一个例子，思索如许一种情形，你但愿创立一段PHP剧本法式限 制对一个目次的会见，只答应可以供应准确的用户名和口令的用户会见这一目次。我将把材料存储在我喜好的数据库MySQL的一个表中。上面我 们以创立这个被称作members的表入手下手咱们的例子：

mysql>CREATE TABLE members (
->username CHAR(14) NOT NULL,
->password CHAR(32) NOT NULL,
->PRIMARY KEY(username)
->);

然后，咱们假定上面的数据已存储在该表中：

用户名 暗码
clark keloD1C377lKE
bruce ba1T7vnz9AWgk
peter paLUvRWsRLZ4U

这些加密的口令对应的密码分离是kent、banner和parker。注重一下每一个口令的前二个字母， 这是由于我利用了上面的代码，依据口令的前二个字母创立搅扰串的：

$enteredPassword.
$salt = substr($enteredPassword, 0, 2);
$userPswd = crypt($enteredPassword, $salt);
// $userPswd然后就和用户名一同存储在MySQL 中

我将利用Apache的口令-应对认证设置装备摆设提醒用户输出用户名和口令，一个不为人知的有关PHP的信息是，它可以把Apache 的口令-应对体系输出的用户名和口令辨认为$PHP_AUTH_USER和$PHP_AUTH_PW，我将在身份验证剧本顶用到这二个变量。花一些工夫细心浏览下 面的剧本，多注重一下个中的注释，以便更好地舆解上面的代码：

crypt()和Apache的口令-应对验证体系的使用
<?php

$host = "localhost";
$user = "zorro";
$pswd = "hell odolly";
$db = "users";

// Set authorization to False

$authorization = 0;

// Verify that user has entered username and password

if (isset($PHP_AUTH_USER) && isset($PHP_AUTH_PW)) :

mysql_pconnect($host, $user, $pswd) or die("Can't connect to MySQL
server!");

mysql_select_db($db) or die("Can't select database!");

// Perform the encryption
$salt = substr($PHP_AUTH_PW, 0, 2);
$encrypted_pswd = crypt($PHP_AUTH_PW, $salt);

// Build the query

$query = "SELECT username FROM members WHERE
username = '$PHP_AUTH_USER' AND
password = '$encrypted_pswd'";

// Execute the query

if (mysql_numrows(mysql_query($query)) == 1) :
$authorization = 1;
endif;

endif;

// confirm authorization

if (! $authorization) :

header('WWW-Authenticate: Basic realm="Private"');
header('HTTP/1.0 401 Unauthorized');
print "You are unauthorized to enter this area.";
exit;

else :

print "This is the secret data!";

endif;

?>

下面就是一个核适用户会见权限的复杂身份验证体系。在利用crypt()回护主要的秘密材料时，记住在缺省形态下利用的 crypt()并非最平安的，只能用在对平安性请求较低的体系中，假如需求较高的平安功能，就需求我在本篇文章的前面引见的算法。

上面我将引见另外一个PHP撑持的函数━━md5()，这一函数利用MD5散列算法，它有几种很风趣的用法值得一提：

混编
一个混编函数可以将一个可变长度的信息变换为具有固定长度被混编过的输入，也被称作“信息文摘”。这是非常有效的，由于 一个固定长度的字符串可以用来反省文件的完全性和验证数字签名和用户身份验证。因为它合适于PHP，PHP内置的md5()混编函数将把一个可 变长度的信息转换为128位（32个字符）的信息文摘。混编的一个风趣的特色是不克不及经由过程剖析混编后的信息失掉本来的密码，由于混编后的了局 与本来的密码内容没有依附关系。 即使只改动一个字符串中的一个字符，也将使得MD5混编算法盘算出二个一模一样的了局。咱们起首来看下 表的内容及其响应的了局：

　
利用md5()混编字符串
<?php
$msg = "This is some message that I just wrote";
$enc_msg = md5($msg);
print "hash: $enc_msg ";
?>

了局：

hash: 81ea092649ca32b5ba375e81d8f4972c
注重，了局的长度为32个字符。再来看一下上面的表，个中的$msg的值有了一点 巨大的变更：

利用md5()对一个略微变更的字符串停止混编
<?php
//注重，message中少了一个s
$msg = "This is some mesage that I just wrote";
$enc_msg = md5($msg);
print "hash2: $enc_msg <br /><br />";
?>

了局：

hash2: e86cf511bd5490d46d5cd61738c82c0c
可以 发明，虽然二个了局的长度都是32个字符，但明文中一点巨大的变更使得了局产生了很大的变更，因而，混编和md5()函数是反省数据中巨大变 化的一个很好的东西。

虽然crypt()和md5()各有效处，但两者在功效上都遭到必定的限制。鄙人面的局部中，咱们将引见 二个十分有效的被称作Mcrypt和Mhash的PHP扩大，将大大拓展PHP用户在加密方面的选择。

虽然咱们在下面的大节中申明了 单向加密的主要性，但有时咱们能够需求在加密后，再把暗码数据复原成本来的数据，侥幸的是，PHP经由过程Mcrypt扩大库的模式供应了这类能够 性。

Mcrypt
Mcrypt 2.5.7 Unix | Win32
Mcrypt 2.4.7是一个功效壮大的加密算法扩大库，它包含有22种算法 ，个中就包含上面的几种算法：

Blowfish RC2 Safer-sk64 xtea
Cast-256 RC4 Safer-sk128
DES RC4-iv Serpent
Enigma Rijndael-128 Threeway
Gost Rijndael-192 TripleDES
LOKI97 Rijndael-256 Twofish
PanamaSaferplus Wake
装置：
在尺度的PHP软件包中不包含Mcrypt，因而需求下载它，下载的地址为：ftp://argeas.cs-net.gr/pub/unix/mcrypt/ 。下载后，依照上面的办法停止编译，并把它扩大在PHP中：

下载Mcrypt软件包。
gunzipmcrypt-x.x.x.tar.gz
tar -xvfmcrypt-x.x.x.tar
./configure --disable-posix-threads
make
make install
cd to your PHP directory.
./configure -with-mcrypt=[dir] [--other-configuration-directives]
make
make install
固然了，依据你的 请求和PHP装置时与互联网办事器软件的关系，下面的进程能够需求作恰当的修正。

利用Mcrypt
Mcrypt的长处不单单 在于其供应的加密算法较多，还在于它可以对数据停止加/解密处置，另外，它还供应了35种处置数据用的函数。虽然对这些函数停止具体引见 已超越了这篇文章的局限，我仍是要就几个典范的函数作一下扼要的引见。

起首，我将引见若何利用Mcrypt扩大库对数 据停止加密，然后再引见若何利用它停止解密。上面的代码对这一进程停止了演示，起首是对数据停止加密，然后在阅读器上显示加密后的数 据，并将加密后的数据复原为本来的字符串，将它显示在阅读器上。

利用Mcrypt对数据停止加、解密
<?php

// Designate string to be encrypted
$string = "Applied Cryptography, by Bruce Schneier, is
a wonderful cryptography reference.";

// Encryption/decryption key
$key = "Four score and twenty years ago";

// Encryption Algorithm
$cipher_alg = MCRYPT_RIJNDAEL_128;

// Create the initialization vector for added security.
$iv = mcrypt_create_iv(mcrypt_get_iv_size($cipher_alg,
MCRYPT_MODE_ECB), MCRYPT_RAND);

// Output original string
print "Original string: $string <p>";

// Encrypt $string
$encrypted_string = mcrypt_encrypt($cipher_alg, $key,
$string, MCRYPT_MODE_CBC, $iv);

// Convert to hexadecimal and output to browser
print "Encrypted string: ".bin2hex($encrypted_string)."<p>";
$decrypted_string = mcrypt_decrypt($cipher_alg, $key,
$encrypted_string, MCRYPT_MODE_CBC, $iv);

print "Decrypted string: $decrypted_string";

?>

履行下面的剧本将会发生上面的输入：

Original string: Applied Cryptography, by Bruce Schneier, is a wonderful cryptography reference.

Encrypted string: 02a7c58b1ebd22a9523468694b091e60411cc4dea8652bb8072 34fa06bbfb20e71ecf525f29df58e28f3d9bf541f7ebcecf62b c89fde4d8e7ba1e6cc9ea24850478c11742f5cfa1d23fe22fe8 bfbab5e

Decrypted string: Applied Cryptography, by Bruce Schneier, is a wonderful cryptography reference.

下面的代码中二个最典范的函数是mcrypt_encrypt()和 mcrypt_decrypt()，它们的用处是不言而喻的。我利用了“电报暗码本”形式，Mcrypt供应了几种加密体例，因为每种加密体例都有可以影响 暗码平安的特定字符，因而每种形式都需求懂得。关于没有接触过暗码体系的读者来讲，能够对mcrypt_create_iv()函数更有乐趣，虽然对这 一函数停止完全的注释已超越了本篇文章的局限，但我依然会提到它创立的初始化向量（hence, iv），这一贯量可使每条信息彼此自力。 虽然不是一切的形式都需求这一初始化变量，但假如在请求的形式中没有供应这一变量，PHP就会给出正告信息。

Mhash扩大库
http://sourceforge.net/projects/mhash/

0.8.3版的Mhash扩大库撑持12种混编算法，细心反省Mhash v.0.8.3的头文件mhash.h可以晓得，它撑持上面的混编算法：

CRC32 HAVAL160 MD5
CRC32B HAVAL192 RIPEMD160
GOST HAVAL224 SHA1
HAVAL128 HAVAL256 TIGER
装置
象Mcrypt一 样，Mhash也没有包含在PHP软件包中，关于非Windows用户而言，上面是装置进程：

下载Mhash扩大库
gunzipmhash-x.x.x.tar.gz
tar -xvfmhash-x.x.x.tar
./configure
make
make install
cd <PHP地点的目次 >
./configure -with-mhash=[dir] [--other-configuration-directives]
make
make install
象Mcrypt一样 ，依据PHP在互联网办事器软件上的装置体例，能够需求对Mhash停止其他的设置装备摆设。

关于Windows用户而言， http://www.php4win.de中有一个很好的包含Mhash扩大库在内的PHP软件包。只需下载并停止解紧缩，然后依据个中的readme.first文档中的指 令停止装置便可。

利用Mhash
对信息停止混编十分复杂，看一下上面的例子：

<?php
$hash_alg = MHASH_TIGER;
$message = "These are the directions to the secret fort. Two steps left, three steps right, and cha chacha.";
$hashed_message = mhash($hash_alg, $message);
print "The hashed message is ". bin2hex($hashed_message);
?>

履行这一段剧本法式将失掉上面的输入了局：

The hashed message is 07a92a4db3a4177f19ec9034ae5400eb60d1a9fbb4ade461
在这里利用bin2hex()函数的目标是便利咱们了解$hashed_message 的输入，这是由于混编的了局是二进制格局，为了可以将它转化为易于了解的格局，必需将它转换为十六进制格局。

需求 注重的是，混编是单向功效，其了局不依附输出，因而可以公然显示这一信息。这一战略凡是用于让用户对照下载文件和体系办理员供应的文 件，以确保文件的完全性。

Mhash还有其他一些有效的函数。例如，我需求输入一个Mhash撑持的算法的名字，因为 Mhash撑持的一切算法的名字都以MHASH_开首，因而，可以经由过程履行以下的代码完成这一义务：

<?php
$hash_alg = MHASH_TIGER;
print "This data has been hashed with the".mhash_get_hash_name($hashed_message)."hashing algorithm.";
?>

失掉的输入是：

This data has been hashed with the TIGER hashing algorithm.
关于PHP和加密最初需求注重的一个成绩
关于PHP和加密需求注重的最初的一个主要成绩是在办事器和客户端之间传输的数据 在传输过程当中是不平安的！PHP是一种办事器端手艺，不克不及禁止数据在传输过程当中泄密。因而，假如想完成一个完全的平安使用，建议选用 Apache-SSL或其他的平安办事器安排。

结论
这篇文章引见了PHP最有效的功效之一━━数据加密，不但会商了PHP内置 的crypt() 和md5()加密函数，还会商了用于数据加密的功效壮大的扩大库━━Mcrypt和Mhash。在这篇文章最初，我需求指出的是，一个真正 平安的PHP使用还应当包含平安的办事器，因为PHP是一种办事器真个手艺，因而，在数据由客户端向办事器端停止传输时，它不克不及包管数据的 平安。  总的来说，在这一个月左右的时间中，学到的不少，但是也遇到不少的问题，比如批量图片的上传，一直到现在也不懂，如何实现动态的增加上传图片的数量。

遇到出错的时候，我经常把错误信息直接复制到 google的搜索栏，一般情况都是能搜到结果的，不过有时候会搜出来一大片英文的出来，这时候就得过滤一下，吧中文的弄出来，挨着式方法。

这些中手常用的知识，当你把我说的这些关键字都可以熟练运用的时候，你可以选择自己

有位前辈曾经跟我说过，phper 至少要掌握200个函数 编起程序来才能顺畅点，那些不熟悉的函数记不住也要一拿手册就能找到。所以建议新手们没事就看看php的手册（至少array函数和string函数是要记牢的）。

曾经犯过一个很低级的错误，我在文件命名的时候用了一个横线\\\\\\\'-\\\\\\\' 号，结果找了好几个小时的错误，事实是命名的时候 是不能用横线 \\\\\\\'-\\\\\\\' 的，应该用的是下划线  \\\\\\\'_\\\\\\\' ;

我还是推荐用firefox ，配上firebug 插件调试js能省下不受时间。谷歌的浏览器最好也不少用，因为谷歌的大侠们实在是太天才啦，把一些原来的js代码加了一些特效。

有位前辈曾经跟我说过，phper 至少要掌握200个函数 编起程序来才能顺畅点，那些不熟悉的函数记不住也要一拿手册就能找到。所以建议新手们没事就看看php的手册（至少array函数和string函数是要记牢的）。

php是动态网站开发的优秀语言，在学习的时候万万不能冒进。在系统的学习前，我认为不应该只是追求实现某种效果，因为即使你复制他人的代码调试成功，实现了你所期望的效果，你也不了解其中的原理。

兴趣是最好的老师，百度是最好的词典。

遇到出错的时候，我经常把错误信息直接复制到 google的搜索栏，一般情况都是能搜到结果的，不过有时候会搜出来一大片英文的出来，这时候就得过滤一下，吧中文的弄出来，挨着式方法。

建数据库表的时候，int型要输入长度的，其实是个摆设的输入几位都没影响的，只要大于4就行，囧。

这些都是最基本最常用功能，我们这些菜鸟在系统学习后，可以先对这些功能深入研究。

首推的搜索引擎当然是Google大神，其次我比较喜欢 百度知道。不过搜出来的结果往往都是 大家copy来copy去的，运气的的概率很大。

实践是检验自己会不会的真理。

学好程序语言，多些才是王道，写两个小时代码的作用绝对超过看一天书，这个我是深有体会（顺便还能练打字速度）。

本人接触php时间不长，算是phper中的小菜鸟一只吧。由于刚开始学的时候没有名师指，碰过不少疙瘩，呗很多小问题卡过很久，白白浪费不少宝贵的时间，在次分享一些子的学习的心得。

我还是推荐用firefox ，配上firebug 插件调试js能省下不受时间。谷歌的浏览器最好也不少用，因为谷歌的大侠们实在是太天才啦，把一些原来的js代码加了一些特效。

写js我最烦的就是 ie 和 firefox下同样的代码 结果显示的结果千差万别，还是就是最好不要用遨游去调试，因为有时候遨游是禁用js的，有可能代码是争取结果被遨游折腾的认为是代码写错。

使用 jquery 等js框架的时候，要随时注意浏览器的更新情况，不然很容易发生框架不能使用。

作为一个合格的coder 编码的规范是必须，命名方面我推崇“驼峰法”，另外就是自己写的代码最好要带注释，不然时间长了，就算是自己的代码估计看起来都费事，更不用说别人拉。