必须用openssl_encrypt()实现可逆加密而非哈希，因GDPR第17、20条要求支持解密以履行被遗忘权与数据可携权；须选用AES-256-GCM模式，密钥从环境变量读取并校验32字节，IV每次随机生成且与密文、认证标签拼接后base64存储。
PHP 应用只要处理欧盟居民或境内个人信息，就必须满足 GDPR 与《个人信息保护法》的双重合规要求——这不是可选项，而是法律生效前提。光靠“加个勾选框”或“把密码哈希一下”远远不够，核心在于数据流每个环节是否可验证、可追溯、最小必要。
如何用 openssl_encrypt() 实现字段级加密而非简单哈希
哈希（如 sha256()）不可逆，但无法解密，导致审计、纠错、跨系统比对等场景完全失效；GDPR 第17条“被遗忘权”和第20条“数据可携权”明确要求支持数据导出与人工复核，必须保留安全解密能力。
- 必须使用带认证的加密模式，推荐
AES-256-GCM（PHP 7.1+），避免CBC模式下填充预言攻击风险 - 密钥绝不能硬编码：从环境变量读取，例如
getenv('ENCRYPTION_KEY')，且长度需为 32 字节（AES-256） - IV（初始化向量）必须每次随机生成并随密文一并存储（如拼接进数据库字段），不可复用
- 敏感字段如手机号、身份证号加密后建议 base64 编码存入
VARCHAR(255)，避免二进制截断
示例关键片段：
$key = hex2bin(getenv('ENCRYPTION_KEY'));
$iv = random_bytes(12); // GCM 推荐 12 字节 IV
$encrypted = openssl_encrypt($rawData, 'aes-256-gcm', $key, OPENSSL_RAW_DATA, $iv, $tag);
$stored = base64_encode($iv . $tag . $encrypted); // 合并存储，解密时拆分
为什么 SELECT * 是 GDPR 数据最小化违规高发点
GDPR 第5条“数据最小化”不是模糊倡导，而是可审计的技术义务。一次 SELECT * 查询可能无意拉取邮箱、住址、紧急联系人电话等非报告必需字段，构成“过度收集”，监管处罚案例中常见此项被认定为系统性违规。
立即学习“PHP免费学习笔记（深入）”；
- 所有报表类 SQL 必须显式声明字段，例如
SELECT patient_id, diagnosis_code, visit_date FROM visits - 禁止在日志、调试输出、API 响应中返回未脱敏的原始结果集——哪怕只是临时
var_dump() - 使用 PDO 的
PDO::FETCH_ASSOC后，立即用array_filter()剔除非必要键，不要依赖前端“不显示”来规避责任 - 若需兼容旧逻辑，可用视图（View）封装最小字段集，权限直接授予视图而非基表
array_map() 和 preg_replace() 脱敏时的边界陷阱
正则替换不加断言、array_map() 不校验键名，极易造成 PII 残留或误脱敏。红队实测中，72% 的医疗 PHP 系统因手机号正则漏写 (? 导致“1381234567890”被错误匹配前 11 位，留下尾部数字泄露。
- 手机号必须用完整边界：
/(?，且需在脱敏前 trim 空格与换行 - 身份证号优先结构化脱敏：
substr($id, 0, 3) . '****' . substr($id, -4)，而非全局替换“XXXX”——后者会污染诊断编码中的“XXXX”字样 - 用
array_map()处理数组时，务必配合array_key_exists()校验键名，避免对['name' => '张三', 'code' => 'ICD-10-CM:J45.909']中的 code 字段误操作 - 所有脱敏函数必须有单元测试覆盖边界值：空字符串、null、超长字符串、含 emoji 的姓名
审计日志为什么必须包含 consent_timestamp 和操作上下文
GDPR 第32条要求“确保持续机密性、完整性、可用性和弹性”，而审计日志是唯一能证明你履行了该义务的证据链。仅记录 “用户A 删除了数据” 不够，必须能回溯到“该用户当时是否已有效授权、授权范围是否覆盖本次操作、操作是否发生在同意时效内”。
- 每条日志至少含：
user_id、ip_address、action（如report_export）、target_record_id、consent_timestamp、consent_version（隐私政策版本号） - 禁止将日志写入 Web 可访问目录；应写入独立 syslog 服务或加密文件（用
openssl_encrypt()加密后落盘） - 导出类操作（如 PDF 报告生成）必须在日志写入成功后，再触发模板渲染——否则日志缺失即构成合规断裂
- 注意时区一致性：所有时间戳统一用 UTC 存储，展示层再转换，避免夏令时导致的 30 分钟偏差影响 72 小时泄露上报时限
最易被忽略的是 consent timestamp 的绑定粒度——它必须精确到单次操作，而不是用户注册时的一次性授权。患者复诊报告导出，需验证该次请求对应的同意状态是否仍有效，而非只查“有没有同意过”。
