MySQL数据加密方法与PHP实现详解

在Web开发中，保护用户数据安全至关重要。MySQL数据库本身不强制加密存储，但可以通过PHP在应用层对敏感数据进行加密后再存入数据库。以下是使用PHP实现MySQL数据加密的详细步骤。

1. 选择合适的加密方式

PHP提供了多种加密方法，推荐使用对称加密算法如AES-256-CBC，它安全且性能良好。避免使用过时的函数如mcrypt，应使用PHP内置的openssl_encrypt()和openssl_decrypt()函数。

• AES（高级加密标准）是目前广泛认可的安全算法
• 使用CBC（Cipher Block Chaining）模式增加安全性
• 必须配合唯一的初始化向量（IV）防止重复加密结果

2. 生成密钥和初始化向量

加密需要一个安全的密钥和每次加密都不同的IV。密钥应妥善保管，不能硬编码在代码中。

示例代码：

$encryption_key = openssl_random_pseudo_bytes(32); // 256位密钥
$iv = openssl_random_pseudo_bytes(openssl_cipher_iv_length('aes-256-cbc'));

建议将密钥存储在环境变量或配置文件中，例如使用.env文件：

define('ENCRYPTION_KEY', getenv('ENCRYPTION_KEY'));

3. 加密数据并存入数据库

在插入数据前进行加密处理：

function encryptData($data, $key, $iv) {
    return openssl_encrypt($data, 'aes-256-cbc', $key, 0, $iv);
}

// 使用示例
$plaintext = "敏感信息如身份证号";
$encrypted = encryptData($plaintext, ENCRYPTION_KEY, $iv);

// 存储加密数据和IV（IV可公开，但需保存）
$stmt = $pdo->prepare("INSERT INTO users (name, encrypted_data, iv) VALUES (?, ?, ?)");
$stmt->execute(['张三', $encrypted, base64_encode($iv)]);

注意：IV必须与加密数据一起存储，解密时需要相同的IV。

4. 从数据库读取并解密数据

查询后使用相同密钥和IV进行解密：

function decryptData($encrypted_data, $key, $iv) {
    return openssl_decrypt($encrypted_data, 'aes-256-cbc', $key, 0, $iv);
}

// 查询数据
$stmt = $pdo->query("SELECT encrypted_data, iv FROM users WHERE name = '张三'");
$row = $stmt->fetch();

$iv = base64_decode($row['iv']);
$decrypted = decryptData($row['encrypted_data'], ENCRYPTION_KEY, $iv);

echo $decrypted; // 输出原始数据

5. 安全注意事项

• 密钥必须保密，不要提交到版本控制系统
• 每个加密操作应使用新的随机IV
• 加密字段无法使用索引进行模糊查询，需权衡性能与安全
• 考虑使用PHP的sodium扩展（PHP 7.2+），更现代且安全
• 对密码等字段应使用password_hash()而非可逆加密