首先判断加密类型，常见有Base64、gzinflate、eval、XOR等；通过分析特征函数和字符串定位加密方式；对Base64+gzinflate组合，提取编码内容并用临时脚本解码输出原文；针对XOR或替换加密，寻找密钥并编写解密脚本还原；利用PHP-Parser、dephpend等工具进行语法树分析或自动去混淆；最后可通过本地隔离环境修改eval为echo，动态执行捕获明文代码。
如果您发现某个PHP文件的内容被加密或混淆，导致无法直接阅读其源码，则可能是使用了特定的加密方式或编码手段。以下是分析和解密此类PHP源码的常用方法：
一、识别加密或混淆类型
在尝试解密之前，需要先判断PHP源码使用的加密或混淆方式。常见的包括Base64编码、gzinflate压缩、eval执行加密代码、自定义字符串替换等。通过初步观察可发现特征函数如eval(gzinflate(...))或大量str_replace调用。
1、打开加密的PHP文件，查看是否包含eval、gzinflate、base64_decode等关键词。
2、检查是否存在大段不可读的字符串或数组，这通常是编码后的原始代码数据。
立即学习“PHP免费学习笔记（深入）”；
3、观察是否有明显的解密函数结构，例如使用create_function或动态拼接代码。
二、处理Base64 + gzinflate组合加密
许多PHP加密采用Base64编码后使用gzdeflate压缩的方式存储源码，运行时通过gzinflate解压并执行。这种结构可通过逆向还原出原始代码。
1、定位到类似eval(gzinflate(base64_decode('...')))的语句。
2、将其中的Base64字符串提取出来，保存为变量。
3、编写一个临时PHP脚本，对该字符串执行echo gzinflate(base64_decode('提取的字符串'));。
4、运行该脚本即可输出原始PHP代码，注意不要直接在生产环境执行此类操作。
三、应对异或（XOR）加密或字符串替换
部分加密机制使用异或运算对字符串进行加密，在运行时通过密钥还原内容。这类情况需找到密钥和解密逻辑。
1、查找代码中是否存在循环结构对字符进行^操作，并伴随固定密钥值。
2、提取加密字符串和对应的密钥，编写独立脚本模拟解密过程。
3、若使用strtr或str_replace进行映射替换，需找到替换表并反向构造原字符。
4、利用PHP的var_dump或调试工具输出中间结果，验证解密是否成功。
四、使用自动化工具辅助分析
对于高度混淆的代码，手动分析效率较低，可借助专业工具进行语法树解析或去混淆处理。
1、使用开源项目如PHP-Parser解析加密文件的抽象语法树（AST）。
2、运行去混淆工具如dephpend或UnPHP尝试自动还原代码。
3、将加密代码上传至在线解密平台（如unphp.net），但需注意敏感信息泄露风险。
五、调试与动态执行获取明文
当静态分析难以突破时，可通过模拟执行环境捕获解密后的代码片段。
1、在本地搭建安全隔离的PHP环境（如Docker容器）。
2、修改加密文件中的eval为echo或写入文件操作，阻止实际执行但输出内容。
3、启用PHP的output buffering功能，捕获所有输出流。
4、运行脚本并记录控制台输出，从中提取还原后的源码。
