Workerman代码无法真正加密，只能通过部署隔离、PHP层混淆和传输/存储加密三者配合防护；核心是确保源码不暴露于Web可访问路径，并将高价值逻辑拆分为独立服务。
Workerman项目本身不支持运行时代码混淆或加密，所谓“对Workerman代码加密”，本质是防止源码被直接读取或反编译——这只能靠部署隔离 + PHP层混淆 + 传输/存储加密三者配合，缺一不可。
为什么不能用PHP原生加密函数（如openssl_encrypt）加密整个start.php？
因为Workerman启动依赖PHP解析器直接加载并执行入口文件。如果你把start.php内容用AES加密后存成二进制，PHP根本无法识别语法结构，php start.php会直接报Parse error: syntax error。混淆或加密必须发生在「可执行但难读」层面，而非「不可执行但看似安全」层面。
- 所有试图用
eval(base64_decode(...))或gzinflate(file_get_contents(...))包裹主逻辑的做法，都会让opcache失效、调试崩溃、且极易被debug_backtrace()或内存dump绕过 - PHP的
__halt_compiler()或phar打包仅提供基础封装，不防静态分析；攻击者用phar://流包装器或php -r "echo file_get_contents('xxx.phar');"就能解出原始代码 - 真正起作用的混淆，必须在代码加载前完成，且不影响
autoloader和class_alias等机制
生产环境推荐的混淆方案：Composer + obfuscator + 目录隔离
核心思路是：只混淆业务逻辑层（app/或src/），不动框架层（vendor/workerman/workerman），并确保混淆后仍能被composer autoload正确加载。
- 使用
github.com/scrivo/htscanner类工具不现实——它依赖Apache模块，Workerman是独立进程，无Web服务器介入 - 推荐
github.com/mgdm/PHP-Obfuscator（命令行工具）：支持变量名/函数名/类名全量替换、字符串常量编码、控制流扁平化，且输出仍是合法PHP语法 - 混淆前先清理冗余：
find app/ -name "*.php" | xargs sed -i '/^\/\//d;/^\/\*/d'删除注释，避免混淆后体积膨胀 - 混淆后必须验证：
php -l app/Controller/UserController.php检查语法；再用php -r "require 'app/Bootstrap.php';"确认能正常加载类
比混淆更关键的防线：不让源码出现在Web可访问路径
90%的源码泄露不是因为没混淆，而是因为start.php或vendor/被Nginx/Apache当成静态文件返回了。这才是最常被忽略的致命点。
- Workerman入口文件（如
start.php）绝不能放在/var/www/html/这类Web根目录下，应移至/opt/workerman/start.php，并通过php /opt/workerman/start.php start -d后台运行 - Nginx配置中必须加两行硬性拦截：
location ^~ /vendor/ { return 403; }和location ~ \.php$ { deny all; }（注意：此规则要放在location /之前） - 检查
phpinfo()是否暴露：若线上环境还能访问/info.php，说明display_errors = On或php.ini未禁用system函数，立刻设disable_functions = system,exec,shell_exec,proc_open,passthru
敏感逻辑不要写在PHP里：该上服务端就上服务端
如果真有算法密钥、支付签名逻辑、风控规则引擎这类高价值代码，别把它塞进Workerman进程里混淆——直接抽成独立HTTP微服务，用curl或gRPC调用。Workerman只做连接管理、消息路由、心跳维持。
- 比如用户登录后的Token签发，不要在
onMessage里用hash_hmac('sha256', $data, $secret)硬编码密钥，而应file_get_contents('http://auth-service:8081/sign?data='.urlencode($data)) - 这样做的好处：密钥只存在独立服务的环境变量中；Workerman进程内存dump不出密钥；升级算法只需重启
auth-service，不用重发整个Workerman包 - 代价是增加一次网络调用延迟，但在绝大多数实时通信场景（如聊天、通知）中，这个延迟可接受；若实在不能容忍，可用
Redis Lua script把简单逻辑下沉到缓存层执行
混淆只是障眼法，真正的防护在于让攻击者连第一行代码都拿不到——路径隔离、权限收紧、错误关闭、服务拆分，这些比任何花哨的加密工具都管用。一旦你把start.php挪出Web根目录、vendor/加了403拦截、display_errors关掉、disable_functions列全，那就算没做任何混淆，源码泄露风险也已降到极低。
