PHP无法自动加密文件，需先用openssl_encrypt加密内容再写入：生成32字节密钥和16字节随机IV，加密后JSON封装IV与密文并base64编码，最后file_put_contents写入；读取时反向操作，严格校验openssl_decrypt返回false。
PHP用file_put_contents创建文件时如何同步加密
直接写明：PHP本身不提供“自动加密文件”的内置函数，所谓“创建并加密”，本质是先生成加密后的内容，再写入文件。关键在加密逻辑必须在file_put_contents之前完成。
常见错误是试图把加密逻辑塞进路径参数或误用fopen的模式（如'wb+encrypted'），这会直接报错——PHP的文件操作函数不识别加密模式。
- 推荐用
openssl_encrypt处理原始内容，再用file_put_contents写入密文 - 加密前务必确认OpenSSL扩展已启用（
extension=openssl在php.ini中未被注释） - 密钥长度必须匹配所选算法（如AES-256-CBC要求32字节密钥，不足需
hash('sha256', $key)补足） - 不要硬编码密钥，生产环境应从环境变量或配置中心读取
用openssl_encrypt和openssl_decrypt做对称加解密
这是PHP最可靠、无需额外依赖的方案。注意它不是“文件级”加密，而是“内容级”——你得自己读/写文件，加解密只作用于字符串。
典型流程：读文件 → 解密内容 → 处理 → 重新加密 → 写回。不能跳过中间的字符串操作步骤。
立即学习“PHP免费学习笔记（深入）”；
- 必须指定
$method（如'AES-256-CBC'）、$key、$iv（初始化向量），三者缺一不可 -
$iv必须随机生成且每次不同，但解密时需原样复用——通常和密文一起存储（如JSON打包：['iv' => base64_encode($iv), 'data' => base64_encode($ciphertext)]） - 加密后的内容是二进制，写入文件前建议
base64_encode转为可读字符串，否则可能损坏（尤其Windows下换行符干扰） - 解密失败时
openssl_decrypt返回false，不是空字符串，需用=== false严格判断
为什么不用mcrypt或自定义XOR？
mcrypt在PHP 7.2+已被彻底移除，任何还在用mcrypt_encrypt的代码在新版PHP上必然报Fatal error: Uncaught Error: Call to undefined function mcrypt_encrypt()。别碰它。
XOR加密看似简单（$data ^ $key），但实际极不安全：密钥重复使用会导致频率分析破解；无法抵抗已知明文攻击；且不处理填充、块对齐等底层问题。
- 如果只是临时保护日志或缓存文件，且对安全性要求不高，可用
base64_encode+ 自定义混淆（比如翻转字符串再base64），但必须明确标注“仅防误读，非加密” - 真要防窃取，必须用OpenSSL标准算法，配合正确密钥管理和IV生成
- 注意
openssl_encrypt默认使用PKCS#7填充，解密时无需手动处理——这点比手写填充逻辑可靠得多
加密文件的读取和解密完整示例
以下代码演示从创建加密文件到读取解密的闭环，重点看$iv的保存与复用逻辑：
// 创建加密文件
$data = '敏感配置：db_password=123456';
$key = hash('sha256', 'my_secret_key', true); // 32字节密钥
$iv = openssl_random_pseudo_bytes(16); // AES-256-CBC需要16字节IV
$ciphertext = openssl_encrypt($data, 'AES-256-CBC', $key, 0, $iv);
$encoded = json_encode([
'iv' => base64_encode($iv),
'data' => base64_encode($ciphertext)
]);
file_put_contents('/tmp/config.enc', $encoded);
// 读取并解密
$raw = file_get_contents('/tmp/config.enc');
$payload = json_decode($raw, true);
$iv = base64_decode($payload['iv']);
$ciphertext = base64_decode($payload['data']);
$decrypted = openssl_decrypt($ciphertext, 'AES-256-CBC', $key, 0, $iv);
echo $decrypted; // 输出原始字符串
IV和密文必须成对保存，漏掉任何一个环节，解密就彻底失败。这个细节在调试时最容易被忽略——尤其是当json_encode因特殊字符出错，或base64_decode遇到换行截断时，错误信息极其隐蔽。
