MySQL建表时无加密字段类型，应使用VARCHAR或BLOB存储PHP加密后的数据；推荐VARCHAR(300)存AES-256-CBC+Base64密文，注明算法注释，禁用TEXT，不建索引，显式指定utf8mb4字符集，并关闭PDO模拟预处理。
MySQL建表时怎么加加密字段
PHP本身不直接参与数据库字段加密设计，加密字段是数据库层面的逻辑概念——实际没有“加密字段”这种类型，只有“用加密函数存入的普通字段”。建表时仍用 VARCHAR、TEXT 或 BLOB，关键在写入前用 PHP 加密、读取后解密。
常见错误是试图在 CREATE TABLE 里写 ENCRYPTED VARCHAR(255)，这会报错：MySQL 不支持该语法。
- 推荐用
VARCHAR(255)存 AES 加密后的 Base64 字符串（约 172 字符） - 若存原始二进制，用
BLOB，但需注意 PHP 的mysqli或PDO需设PDO::ATTR_EMULATE_PREPARES = false才能正确绑定 - 避免用
TEXT存加密数据——部分 MySQL 版本对TEXT列的索引和比较行为不稳定
PHP用openssl_encrypt存敏感字段的正确姿势
别用过时的 mcrypt（PHP 7.2+ 已移除），统一走 openssl_encrypt + openssl_decrypt。密钥必须安全保管，不能硬编码在建表语句或 SQL 文件里。
典型场景：用户表中加密存储身份证号、手机号等字段。
立即学习“PHP免费学习笔记（深入）”；
- 加密方式选
AES-256-CBC（兼容性好，PHP 5.4+ 原生支持） - IV 必须每次随机生成，且与密文一起存储（比如拼接成
$iv.$encrypted或另存一列） - 密钥长度必须匹配：AES-256 要 32 字节，可用
hash('sha256', $raw_key, true)补齐 - 加密后用
base64_encode()转为字符串再入库，否则二进制易被截断或乱码
function encryptField($plaintext, $key) {
$ivlen = openssl_cipher_iv_length($cipher = "AES-256-CBC");
$iv = openssl_random_pseudo_bytes($ivlen);
$ciphertext_raw = openssl_encrypt($plaintext, $cipher, $key, OPENSSL_RAW_DATA, $iv);
return base64_encode($iv . $ciphertext_raw);
}
function decryptField($encoded, $key) {
$data = base64_decode($encoded);
$ivlen = openssl_cipher_iv_length($cipher = "AES-256-CBC");
$iv = substr($data, 0, $ivlen);
$ciphertext_raw = substr($data, $ivlen);
return openssl_decrypt($ciphertext_raw, $cipher, $key, OPENSSL_RAW_DATA, $iv);
}
建表SQL示例：带加密字段的用户表
字段名要体现用途（如 id_card_enc），避免只叫 data 或 secure ——后期维护时没人知道它存的是什么、用什么算法加的。
不建议给加密字段加索引：加密后数据无序，索引失效；真要查，得靠关联明文字段（如用哈希脱敏 ID 查）或应用层解密后过滤。
CREATE TABLE `users` ( `id` INT UNSIGNED NOT NULL AUTO_INCREMENT, `name` VARCHAR(100) NOT NULL, `id_card_enc` VARCHAR(300) NOT NULL COMMENT 'AES-256-CBC + base64', `phone_enc` VARCHAR(300) NOT NULL COMMENT '同上', `created_at` DATETIME DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (`id`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;
容易被忽略的坑：字符集、PDO绑定和错误处理
加密后字符串含 Base64 字符（A-Za-z0-9+/=），utf8mb4 完全兼容，但若表用 latin1 可能出乱码——建表务必显式声明 CHARSET=utf8mb4。
PDO 默认启用模拟预处理（ATTR_EMULATE_PREPARES = true），会导致 bindParam 对长 Base64 字符串截断。必须关掉：
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);- 插入失败时，
openssl_encrypt返回false，不是异常，得手动判断并throw new Exception - 解密失败（密钥错、IV 损坏）返回
false或空字符串，不要直接 echo，应记录日志并拒绝返回业务数据
加密字段不是银弹。密钥泄漏、IV 复用、未校验解密结果，都会让整个机制形同虚设。
