openssl_encrypt返回空字符串或false的主因是密钥长度与算法不匹配（如AES-256-CBC需32字节密钥却传入16字节），其次为IV长度错误、未校验返回值、未base64_encode二进制密文、加密解密options参数不一致。
openssl_encrypt 返回空字符串的常见原因
PHP 的 openssl_encrypt 在参数不匹配时通常静默返回 false 或空字符串，而不是抛出异常——这正是排查困难的起点。最常踩的坑是密钥长度不符合所选加密算法的要求，比如用 16 字节密钥调用 AES-256-CBC（它要求 32 字节密钥），函数直接返回 false，而你若没显式检查返回值，就会误以为“加密成功但结果为空”。
其他关键匹配点包括：
-
openssl_encrypt的$cipher_algo（如AES-128-CBC）必须与密钥长度、IV 长度严格对应 - IV 必须是该算法要求的固定长度（如 CBC 模式下 AES IV 恒为 16 字节）
- 密钥未做
hash处理直接使用原始字符串时，极大概率长度不对 - PHP 版本差异：7.1+ 对非法密钥长度更敏感，旧版本可能容忍但结果不可靠
如何验证密钥和 IV 长度是否合规
别猜，直接用 strlen() 和 openssl_cipher_iv_length() 检查：
$cipher = 'AES-256-CBC';
$key = 'my_16byte_key_123'; // 错！16 字节 → 应用于 AES-128-CBC
$iv = openssl_random_pseudo_bytes(openssl_cipher_iv_length($cipher));
// 正确做法：按算法要求生成或补全密钥
$key = substr(hash('sha256', 'your_secret'), 0, 32); // 强制 32 字节用于 AES-256
注意：openssl_cipher_iv_length($cipher) 必须传入实际使用的算法名，不能写错大小写或拼写（如 aes-256-cbc 小写在某些 PHP 版本下会返回 0）。
立即学习“PHP免费学习笔记（深入）”；
常用对照：
使用 `gh` CLI 与 GitHub 交互。通过`gh issue`、`gh pr`、`gh run` 和 `gh api` 管理 issue、PR、CI 运行以及高级查询。
-
AES-128-CBC→ 密钥 16 字节，IV 16 字节 -
AES-192-CBC→ 密钥 24 字节，IV 16 字节 -
AES-256-CBC→ 密钥 32 字节，IV 16 字节 -
chacha20→ 密钥 32 字节，IV 12 字节（PHP 7.4+）
加密后返回 false 却没报错？加一层防御性判断
openssl_encrypt 出错时不触发 throw，也不写日志，默认静默失败。必须手动判断返回值：
$encrypted = openssl_encrypt($data, $cipher, $key, OPENSSL_RAW_DATA, $iv);
if ($encrypted === false) {
error_log('openssl_encrypt failed: ' . openssl_error_string());
throw new RuntimeException('Encryption failed');
}
关键点：
- 用
=== false判断，不能用!$encrypted（空字符串、"0" 等也会被判定为 false） - 调用
openssl_error_string()获取底层 OpenSSL 错误（如error:0607F080:digital envelope routines:EVP_EncryptFinal_ex:wrong final block length往往意味着 IV 或 padding 不对） - 确保
OPENSSL_RAW_DATA或OPENSSL_ZERO_PADDING与你的解密端一致，混用必失败
为什么 base64_encode 后再传输仍是乱码？
不是乱码，是二进制密文被当文本解析了。常见错误是：加密后没做 base64_encode 就直接 echo 或存数据库，导致不可见字符截断或编码损坏。
正确链路必须是：
- 加密 → 得到二进制字符串（raw data）
-
base64_encode()→ 转成安全可传输的 ASCII 字符串 - 解密前先
base64_decode()，再喂给openssl_decrypt
漏掉任一环都会让结果看起来“为空”或“解密失败”。尤其注意数据库字段类型：如果存的是 VARCHAR 但用了 utf8mb4 编码，某些二进制字节会被 MySQL 自动过滤或替换。
真正容易被忽略的是：加密/解密两端的 $options 参数必须完全一致，OPENSSL_RAW_DATA 和 OPENSSL_ZERO_PADDING 不能一个用一个不用，哪怕只差一个 flag，结果就是空或乱码。
