若遗忘PHP自加密文件的加密方式或密钥，需通过逆向分析恢复：一、检查文件头部常见特征（如eval/base64/gzinflate/str_rot13）；二、尝试base64+gzinflate双层解码；三、识别XOR逐字节解密并穷举密钥；四、用vld扩展分析opcode定位解密逻辑；五、搜索本地环境残留密钥痕迹。
如果您对PHP文件进行了自定义加密，但现已遗忘具体的加密方式或密钥，导致无法正常解析和运行该文件，则需通过逆向分析与常见加密特征识别来尝试恢复原始代码。以下是几种可行的恢复操作路径：
一、检查文件头部特征与混淆结构
多数自加密PHP文件会保留可识别的解密入口点，例如base64编码字符串、异或运算标识、gzinflate压缩标记或eval动态执行结构。通过静态文本分析可快速定位解密逻辑所在位置。
1、使用文本编辑器（如Notepad++或VS Code）打开加密后的PHP文件，观察开头是否包含类似eval(base64_decode(...))、gzinflate(base64_decode(...))或str_rot13(...)等典型模式。
2、查找是否存在明显的密钥变量定义，例如$key = "xxx";、define('KEY', 'yyy');或硬编码在函数参数中的十六进制字符串。
立即学习“PHP免费学习笔记（深入）”；
3、若发现eval或assert调用，复制其内部表达式，在独立PHP环境中执行并输出结果，验证是否为明文还原步骤。
二、提取并尝试base64/gzinflate双层解码
大量自加密脚本采用base64编码后叠加gzinflate压缩的方式隐藏原始内容，该组合具有高度可复现性，无需密钥即可还原。
1、在文件中定位最长的base64样式的字符串（通常长度为4的倍数，含A-Za-z0-9+/=字符）。
2、新建一个临时PHP文件，写入如下代码：<?php echo gzinflate(base64_decode("粘贴提取的字符串")); ?>
3、在命令行或Web服务器中运行该临时文件，观察输出是否为可读的PHP源码。
三、识别并还原XOR逐字节解密逻辑
部分开发者使用简单异或（XOR）算法对PHP源码进行逐字节加密，此类方法依赖固定密钥或循环密钥，只要密钥长度较短或存在重复规律，即可通过频率分析或穷举恢复。
1、提取加密后文件中非PHP语法的连续二进制段（如位于eval内的长十六进制字符串或ASCII范围外的字节序列）。
2、编写测试脚本，对疑似密钥长度（如1–16字节）进行遍历，对每个字节执行$decrypted[$i] = $encrypted[$i] ^ $key[$i % strlen($key)]运算。
3、将每次运算结果保存为临时文件，并用php -l检测语法有效性；若某次输出含<?php 、function、class等关键词且无解析错误，则视为成功还原。
四、利用opcode反编译工具分析执行流
当加密逻辑嵌套在PHP扩展或Zend VM指令中（如使用Screw+、ionCube早期版本或自定义opcache hook），直接查看源码不可行，此时需借助opcode提取工具还原中间表示。
1、确认目标PHP文件在当前环境中可被加载（即使报错也需确保未被禁止执行）。
2、安装vld扩展（pecl install vld），然后执行：php -dvld.active=1 -dvld.opt=0 your_encrypted.php 2>&1 | grep -A20 "filename"
3、从输出的opcode列表中查找ZEND_EVAL、ZEND_INCLUDE_OR_EVAL或ZEND_FETCH_R等涉及动态加载的操作，结合变量名推断解密函数位置。
五、搜索本地开发环境残留密钥痕迹
加密行为往往发生在开发机上，相关密钥、脚本模板或调试记录可能仍存在于历史文件、IDE缓存、Git暂存区或系统剪贴板历史中。
1、检查项目目录下的.git/logs/HEAD或.idea/workspace.xml，搜索关键词如encrypt、key、xor、base64。
2、在Windows系统中使用PowerShell执行：Get-Content $env:APPDATA\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt | Select-String "encrypt|decrypt|base64"
3、查看浏览器开发者工具的Console面板历史记录（若曾在线调试加密脚本），检索是否有atob()、unescape()或自定义decode()调用痕迹。
