ThinkPHP应用密钥未正确设置会导致Cookie加密失败、Session解密异常或Token验证报错；推荐使用php think key:generate命令自动生成32位随机密钥，也可手动配置config/app.php、通过.env注入APP_KEY、设置crypt_key或验证密钥有效性。
如果您在部署 ThinkPHP 应用时遇到 Cookie 加密失败、Session 解密异常或 Token 验证报错等问题，则很可能是应用密钥（APP_KEY）未正确设置或不符合长度与随机性要求。以下是设置 ThinkPHP 应用密钥的多种合规方法：
一、使用命令行自动生成并写入配置（推荐）
ThinkPHP 6/7 内置了安全密钥生成命令，可自动创建符合 AES-256-CBC 要求的 32 位随机字符串，并直接写入 config/app.php 的 key 字段，避免手动输入错误或弱密钥风险。
1、确保项目根目录下已安装 Composer 依赖且可执行 php think 命令。
2、在终端中执行：php think key:generate。
立即学习“PHP免费学习笔记（深入）”；
3、命令成功后将输出类似 APP_KEY=base64:V3FhZGJkZXNrdG9tYXRvbjEyMzQ1Njc4OTA= 的结果，并自动更新 config/app.php 中的 'key' 值。
4、验证是否生效：重启 Web 服务后，尝试访问需加密功能的接口（如带签名的 Cookie 或 JWT），确认无 openssl_encrypt(): Key length error 报错。
二、手动配置 config/app.php 中的 key 字段
该方法适用于无法执行命令行环境（如部分共享主机）或需严格控制密钥来源的场景，但必须确保字符串为精确 32 个 ASCII 字符，且不含不可见字符或换行符，否则框架启动即报错。
1、打开项目配置文件 config/app.php。
2、定位到数组中 'key' => env('APP_KEY', 'some_random_32_chars_here_12345678') 行。
3、将单引号内值替换为自行生成的 32 位强随机字符串，例如：'key' => 'XqL9mR2vTnB8pK4wYzE7cF6sHjD5gN1o'。
4、保存文件，清除运行时缓存：php think clear:runtime。
三、通过 .env 文件注入 APP_KEY 环境变量
该方式实现配置与代码分离，便于多环境管理（开发/测试/生产），且支持 base64 编码格式，增强密钥传输安全性，框架会自动解码 base64 前缀内容为原始字节。
1、确保项目根目录存在 .env 文件且已被 thinkphp/framework 正确加载。
2、在 .env 文件中添加一行：APP_KEY=base64:V3FhZGJkZXNrdG9tYXRvbjEyMzQ1Njc4OTA=。
3、确认 config/app.php 中 'key' 字段仍保留为 env('APP_KEY', '...') 形式，以便读取环境变量。
4、执行 php think clear:config 刷新配置缓存。
四、使用 think\facade\Crypt 配合 crypt_key（TP6.1+ 专用）
当项目需对数据库字段、API 参数等独立于 Cookie/Session 的数据进行 AES 加密时，可启用单独的 crypt_key 配置，避免与主密钥混用，提升密钥隔离性与审计可控性。
1、在 config/app.php 中添加字段：'crypt_key' => env('CRYPT_KEY', '16_byte_or_32_byte_secret_here')。
2、确保 crypt_key 长度为 16 或 32 字节（对应 AES-128-CBC 或 AES-256-CBC）。
3、在模型或服务类中调用：think\facade\Crypt::encrypt($data)，框架将自动使用 crypt_key 而非 app.key。
4、若 .env 中同时定义 CRYPT_KEY，则优先采用其值，无需修改 config/app.php。
五、验证密钥是否生效的实操检查
无论采用何种方式设置，均需通过实际加密行为验证密钥已正确加载并参与运算，避免配置被覆盖或缓存未刷新导致“看似设置成功实则无效”的情况。
1、创建临时测试控制器方法，调用：echo strlen(config('app.key'));，确认输出为 32。
2、执行：var_dump(openssl_encrypt('test', 'AES-256-CBC', config('app.key'), 0, str_repeat("\0", 16)));，不报错即表示密钥可被 OpenSSL 正常接受。
3、设置一个加密 Cookie：cookie('secure_test', 'hello', ['expire'=>3600, 'auto_encrypt'=>true]);，然后在浏览器开发者工具中检查 Cookie 值是否为不可读乱码而非明文。
