config.php不能直接放加密逻辑，因为ThinkPHP的Config类在框架启动早期加载，此时加密解密服务尚未注册，会导致类找不到或解密时机错误；必须在public/index.php中提前接管配置加载流程，手动读取、解密、解析并注入。
为什么 config.php 不能直接放加密逻辑
ThinkPHP 的 Config 类在框架启动早期就完成加载，此时应用层的加密解密服务（比如 Crypt 或自定义解密器）根本还没注册。硬塞解密逻辑进原生配置文件，要么报错找不到类，要么解密时机错乱导致空配置。
真正可行的路径是：绕过默认加载流程，接管配置加载入口，自己控制「读取 → 解密 → 解析 → 注入」全过程。
- 默认的
think\Config加载器只认.php、.ini等明文格式，不支持自动解密 - 加密后的配置文件（如
config.php.enc）必须由你手动读取并解密，再用Config::set()注入 - 别试图 patch
think\Loader::loadConfig()—— 它是静态方法，且被多处强依赖，改了容易连锁崩溃
如何替换 Config 加载驱动（5.1/6.0 兼容写法）
核心是重写 think\App 初始化时的配置加载环节。不是改框架源码，而是在 public/index.php 或 start.php 中提前干预：
// public/index.php 开头附近插入
use think\Config;
use think\facade\Env;
// 1. 先读取加密配置（假设用 AES-128-CBC，密钥从环境变量来）
$encContent = file_get_contents(Env::get('CONFIG_PATH', __DIR__ . '/../config/config.php.enc'));
$key = Env::get('CONFIG_DECRYPT_KEY');
$iv = substr($encContent, 0, 16);
$ciphertext = substr($encContent, 16);
// 2. 手动解密（需确保 openssl 扩展已启用）
$plain = openssl_decrypt($ciphertext, 'AES-128-CBC', $key, OPENSSL_RAW_DATA, $iv);
// 3. 解析为数组并注入 Config
$config = include 'data://text/plain,' . $plain;
Config::set($config);
// 后续所有 Config::get() 都能正常工作
- 密钥绝不能硬编码，务必通过
ENV或服务器环境变量传入 -
openssl_decrypt失败会返回false，必须加判断，否则整个应用挂掉 - ThinkPHP 6.0+ 使用
think\facade\Config，但底层仍是单例think\Config，上面写法通用 - 不要用
eval()或create_function()解析解密后的内容 —— 有 RCE 风险
加密配置文件生成脚本怎么写才安全
生产环境部署前，得有个可重复、可验证的加密命令。别手动生成，也别用在线工具 —— 密钥和明文不该离开可信环境。
立即学习“PHP免费学习笔记（深入）”；
推荐写一个简单的 CLI 脚本（如 encrypt_config.php），放在项目根目录外或 CI 流程里运行：
// encrypt_config.php
$key = $argv[2] ?? 'your-32-byte-secret-key-here';
$plainFile = $argv[1] ?? 'config.php';
$encFile = $plainFile . '.enc';
$plain = file_get_contents($plainFile);
$iv = random_bytes(16);
$ciphertext = openssl_encrypt($plain, 'AES-128-CBC', $key, OPENSSL_RAW_DATA, $iv);
file_put_contents($encFile, $iv . $ciphertext);
echo "✅ Wrote encrypted config to {$encFile}\n";
- 密钥长度必须严格匹配算法要求（AES-128 要 16 字节，AES-256 要 32 字节）
- IV 必须每次随机生成，且和密文一起存 —— 它不保密，但必须唯一
- 加密前先
php -l config.php校验语法，避免加密了个语法错误的文件 - 加密后建议用测试环境跑一次完整启动，验证
Config::get('database.hostname')是否可取到值
常见报错和兼容性注意点
最常卡在三个地方：扩展缺失、IV 长度错、配置键名冲突。
-
Call to undefined function openssl_decrypt()→ 检查 PHP 是否启用了openssl扩展（php -m | grep openssl） -
openssl_decrypt(): IV length must be 16→ 解密时用的 IV 长度和加密时不一致，检查是否多截或少截了前 16 字节 - 解密后
Config::get()返回 null → 明文配置文件里没写return [ ... ];，PHP 文件必须以return结束才能被include正确解析 - ThinkPHP 5.1 和 6.0 的
App初始化顺序略有不同，但上述在index.php最开头插入的方式两者都适用
加密本身不难，难的是让解密逻辑稳稳落在框架生命周期的“正确一帧”里 —— 晚了，服务没注册；早了，环境没就绪。所以宁可把解密代码写死在入口文件，也别塞进中间件或事件监听里。
