调用 openssl_pkey_get_private 返回 false 时，需立即调用 openssl_error_string() 循环获取 OpenSSL 错误（如 ASN1 lib、no start line），并检查文件路径、权限（600/755）、BOM、密码格式及加密算法兼容性。
PHP openssl_pkey_get_private 返回 false 怎么查原因
直接调用 openssl_pkey_get_private 或 openssl_get_privatekey 返回 false，但没报错，是最常见的密钥读取失败现象。根本原因是 OpenSSL 内部错误未被 PHP 主动抛出，必须手动触发错误检查。
- 每次调用后立刻加
openssl_error_string()，它会逐条返回最近的 OpenSSL 错误（可能多条），不调就丢 - 常见错误如：
PEM routines:PEM_read_bio_PrivateKey:ASN1 lib（格式不对）、PEM routines:get_name: no start line（缺少-----BEGIN RSA PRIVATE KEY-----等标记行） - 注意：
openssl_error_string()是“消费型”函数，每调一次取一条，需循环清空，否则下次调用拿不到前面的残留错误
私钥文件明明存在，却提示“failed to load private key”
路径、权限、内容三者任一出问题都会导致这个模糊提示。PHP 进程（如 www-data 或 nginx 用户）必须同时满足：文件可读 + 目录可执行（即有 x 权限）+ 文件不是 world-writable（OpenSSL 默认拒绝）。
- 用
file_exists($path)和is_readable($path)双重确认，不能只信file_exists - 检查文件权限：私钥文件建议
600，所在目录至少755；若部署在 Docker 或 SELinux 环境，还需确认上下文标签（如chcon -t httpd_sys_content_t） - 用
file_get_contents($path)打印前 200 字符，确认没被 BOM、UTF-8 签名、隐藏控制字符污染——尤其从 Windows 编辑器复制的密钥容易带 BOM
密码保护的私钥解密失败，openssl_pkey_get_private 不认密码
密码传参方式和实际加密算法不匹配是主因。OpenSSL 支持多种密钥加密格式（PKCS#1 vs PKCS#8），而 PHP 的 openssl_pkey_get_private 对密码处理较脆弱。
- 确保密码是字符串类型，不是
null或空数组；若密码含特殊字符（如$、\），确认没被 shell 或配置文件提前解析 - PKCS#8 加密密钥（常见于
-----BEGIN ENCRYPTED PRIVATE KEY-----）需用openssl_pkey_get_private($pem, $pass)，但某些 PHP 版本（如 7.4 之前）对 AES-256-CBC 等新算法支持不全 - 临时验证法：命令行运行
openssl rsa -in key.pem -check -passin pass:yourpassword，若 CLI 能过，说明密钥本身没问题，问题在 PHP 层或版本兼容性
使用 file:// 协议加载远程密钥失败，但本地路径正常
PHP 的 OpenSSL 扩展不支持通过 file:// 协议读取远程 URL（哪怕指向同机 Nginx 服务），它只接受真实文件路径或 PEM 字符串。
立即学习“PHP免费学习笔记（深入）”；
- 不要写
file:///var/www/key.pem或file://localhost/path—— 这些会被当成无效路径，返回 false 且无提示 - 若密钥存在 HTTP 服务上，先用
file_get_contents拉取内容，再传给openssl_pkey_get_private；注意设置超时和 TLS 验证（stream_context_create配verify_peer） - 云环境（如 AWS EC2）中密钥常存于 S3 或 Secrets Manager，务必下载到临时文件再读，避免内存中明文长期驻留
