PHP中读取并加密文件内容有五种方法：一、用openssl_encrypt进行AES加密；二、用sodium_crypto_secretbox实现认证加密；三、流式分块加密防内存溢出；四、结合临时文件与权限控制保护明文；五、通过自定义stream_wrapper透明加解密。
如果您需要在PHP中读取文件内容并对其进行加密处理，以防止敏感信息被未授权访问或泄露，则需结合文件读取与加密算法进行安全操作。以下是实现该目标的多种方法：
一、使用openssl_encrypt进行AES加密
该方法利用OpenSSL扩展提供的对称加密函数，采用AES-256-CBC等强加密算法，适用于对读取后的文件内容进行高安全性加密。需确保PHP已启用openssl扩展，并生成安全的密钥与初始化向量（IV）。
1、生成32字节随机密钥和16字节IV，分别用于AES-256-CBC加密。
2、使用file_get_contents()读取原始文件内容到字符串变量中。
立即学习“PHP免费学习笔记（深入）”；
3、调用openssl_encrypt()函数，传入明文、加密方法、密钥、选项（OPENSSL_RAW_DATA）、IV。
4、将加密结果进行base64_encode()编码，便于安全存储或传输。
5、将加密后数据写入新文件或返回给调用方，密钥与IV必须独立安全保管，不可硬编码在源码中。
二、使用sodium_crypto_secretbox加密
该方法基于libsodium扩展，提供认证加密（AEAD），可同时保证机密性与完整性。相比openssl，其API更简洁且默认使用安全参数，适合现代PHP环境（PHP 7.2+内置支持）。
1、检查extension_loaded('sodium')是否返回true，确认扩展可用。
2、调用sodium_crypto_secretbox_keygen()生成32字节密钥。
3、使用random_bytes(24)生成24字节随机nonce（非重复值）。
4、用file_get_contents()读取待加密文件的全部内容。
5、调用sodium_crypto_secretbox()对内容加密，传入明文、nonce、密钥。
6、将nonce与密文拼接（如nonce在前、密文在后），拼接时需固定长度或添加分隔标识，解密时方可正确分离。
三、读取时逐块加密避免内存溢出
当处理大文件（如日志、备份文件）时，一次性读入内存可能导致OOM错误。此方法采用流式读取+分块加密，兼顾安全性与资源控制。
1、使用fopen()以rb模式打开源文件，获取文件指针。
2、初始化加密上下文：若使用openssl，调用openssl_encrypt()配合OPENSSL_ZERO_PADDING与手动PKCS#7填充；若使用sodium，需为每块生成唯一nonce（如递增计数器哈希）。
3、循环调用fread()每次读取8192字节（或其他合理缓冲区大小）。
4、对每块明文执行加密操作，并将密文写入目标加密文件（使用fwrite()）。
5、关闭两个文件指针，每块加密必须使用不同nonce或IV，否则严重削弱安全性。
四、结合文件系统权限与临时文件保护明文
即使加密过程正确，若读取过程中明文短暂存在于内存或临时文件，仍可能被恶意程序捕获。本方法通过系统级防护降低中间态泄露风险。
1、使用sys_get_temp_dir()获取系统临时目录路径，并确认其权限为仅当前用户可读写。
2、若需预处理（如解压、转码），将中间明文写入该目录下的mktemp()生成的唯一临时文件。
3、对临时文件设置严格权限：chmod($temp_file, 0600)。
4、完成加密后立即调用unlink($temp_file)，确保unlink()执行成功，可通过file_exists()二次验证。
5、在加密脚本开头调用gc_disable()防止垃圾回收器意外保留明文内存副本。
五、使用stream_wrapper注册自定义加密流
该方法通过PHP流包装器机制，在文件读取过程中透明完成解密（反向亦可），适用于需兼容现有file_*系列函数的遗留系统。
1、定义类实现StreamWrapper接口，重写stream_open()、stream_read()等方法。
2、在stream_open()中解析URL中的加密参数（如key_id、cipher），加载对应密钥。
3、在stream_read()中，从底层文件读取密文块，调用openssl_decrypt()实时解密后返回明文。
4、调用stream_wrapper_register('encrypted', 'EncryptedStream')注册协议名。
5、后续使用file_get_contents('encrypted://config.dat')即可自动解密读取，注册前必须验证密钥来源可信，禁止从URL参数直接解析密钥。
