解密失败首要检查openssl_encrypt与decrypt参数是否匹配：method需同为AES-128-CBC，iv长度严格16字节且与加密时一致，key须经md5后取前16字节，OpenSSL扩展必须启用且版本≥1.0.2。
解密失败时先检查 openssl_encrypt 和 openssl_decrypt 的参数是否匹配
ThinkPHP 的 think\helper\Str::encrypt 和 decrypt 底层依赖 OpenSSL，但默认参数和手动调用 OpenSSL 函数不一致时，必然解密失败。常见现象是返回空字符串或 false，且无明确错误提示。
-
method必须严格一致：ThinkPHP 5.1+ 默认用AES-128-CBC，不是AES-256-CBC或des-ede3-cbc -
iv（初始向量）必须和加密时完全相同，且长度要对得上 ——AES-128-CBC要求iv长度为 16 字节，不能截断、不能 base64_decode 后再用（除非你加密时也这么干） -
key实际参与运算的是前 16 字节（AES-128），哪怕你配了 32 位字符串，后半截也不会被用到；如果 key 是中文或带特殊字符，务必确认是否经过md5()或sha1()处理 —— ThinkPHP 默认对密钥做了md5($key)
OpenSSL 扩展没启用或版本太低会导致静默失败
不是报错“function not found”，而是 openssl_encrypt 返回 false，decrypt 也跟着失败。尤其在 Docker 或新版 PHP 8.1+ 环境里，OpenSSL 可能被编译时禁用，或只启用了 FIPS 模式。
- 运行
php -m | grep openssl确认扩展已加载 - 检查
phpinfo()中 OpenSSL 版本，低于1.0.2的旧版本不支持部分 cipher 方法（如aes-128-gcm） - 若用的是 Alpine Linux 镜像，需额外安装
apk add openssl并确保php81-opcache（或对应版本）含 OpenSSL 支持
自定义密钥配置必须和框架默认行为对齐
很多人直接把明文字符串塞进 app.php 的 'cipher_key' => 'my_secret_123'，结果加解密不一致。问题出在 ThinkPHP 对密钥做了隐式处理。
- 框架默认会用
md5($key)截取前 16 字节作为实际 AES key —— 如果你手动调用openssl_encrypt，就得自己做这一步：$realKey = substr(md5('my_secret_123'), 0, 16) - IV 不是随机生成后丢弃的：ThinkPHP 加密时用
random_bytes(16)生成 IV，并把它 Base64 编码后拼在密文前面（用:分隔），解密时自动拆分。如果你自己构造密文，漏了这步就会失败 - 别在配置里写
base64_encode('xxx')当密钥 —— 框架不会帮你 decode，它只会把整个字符串拿去 md5
调试时用原生 OpenSSL 函数验证中间值最可靠
与其反复改配置、清缓存、怀疑框架 Bug，不如绕过 ThinkPHP，用最简 OpenSSL 调用验证 key、iv、cipher 是否真能通。
立即学习“PHP免费学习笔记（深入）”；
php
$raw = 'hello';
$key = substr(md5('your_key'), 0, 16);
$iv = str_repeat("\0", 16); // 先固定 iv 方便比对
$encrypted = openssl_encrypt($raw, 'AES-128-CBC', $key, OPENSSL_RAW_DATA, $iv);
var_dump(base64_encode($encrypted)); // 和 ThinkPHP 输出对比
注意：ThinkPHP 的 encrypt 默认返回的是 base64 编码 + iv 前缀的字符串，而 openssl_encrypt 默认返回 raw data，要用 base64_encode 才对得上。
密钥长度、IV 来源、编码方式、cipher 名称，四者只要一个不对，就解不开。尤其是线上环境用了不同 PHP 版本或 OpenSSL 编译选项时，连「本地能跑」都不能信。
