本文详解 php 中使用 openssl 进行 blowfish-cbc 加密/解密时因初始化向量（iv）未正确传递导致解密失败的问题，提供可直接使用的安全实现方案，并强调 iv 必须随密文一同存储与复用。
本文详解 php 中使用 openssl 进行 blowfish-cbc 加密/解密时因初始化向量（iv）未正确传递导致解密失败的问题，提供可直接使用的安全实现方案，并强调 iv 必须随密文一同存储与复用。
在对称加密中，BF-CBC（Blowfish 以 CBC 模式运行）要求每次加密都使用唯一的初始化向量（IV），以确保相同明文加密后产生不同密文，增强安全性。但解密时必须使用与加密完全相同的 IV——而原代码中 decrypt() 函数错误地生成了新的随机 IV，导致解密必然失败（openssl_decrypt() 返回 false，且默认不报错，故无输出）。
正确做法：IV 必须“伴随密文”存储与传递
IV 本身无需保密，但必须唯一、不可预测（推荐 random_bytes() 生成），且需与密文绑定传输。常见策略是将 IV 与密文拼接（如 Base64 编码后用分隔符连接），解密时再分离复用。
以下是修复后的完整实现：
function encrypt($string, $key)
{
$method = 'BF-CBC';
$ivLength = openssl_cipher_iv_length($method);
$iv = random_bytes($ivLength);
$key = hash('sha256', $key, true); // 注意：使用 raw_output=true 保证二进制密钥长度
$ciphertext = openssl_encrypt($string, $method, $key, OPENSSL_RAW_DATA, $iv);
// 将 IV（Base64 编码）与密文拼接，用 '|' 分隔
return base64_encode($iv) . '|' . base64_encode($ciphertext);
}
function decrypt($encryptedString, $key)
{
if (!str_contains($encryptedString, '|')) {
throw new InvalidArgumentException('Invalid encrypted format: missing IV separator');
}
[$ivBase64, $ciphertextBase64] = explode('|', $encryptedString, 2);
$iv = base64_decode($ivBase64);
$ciphertext = base64_decode($ciphertextBase64);
$method = 'BF-CBC';
$key = hash('sha256', $key, true);
$plaintext = openssl_decrypt($ciphertext, $method, $key, OPENSSL_RAW_DATA, $iv);
if ($plaintext === false) {
throw new RuntimeException('Decryption failed: ' . openssl_error_string());
}
return $plaintext;
}关键改进说明：
- ✅ IV 复用机制：encrypt() 生成并编码 IV，decrypt() 解析并还原，确保解密使用原始 IV；
- ✅ 密钥二进制化：hash(..., true) 返回原始字节而非十六进制字符串，避免 Blowfish 密钥长度不匹配（BF-CBC 要求密钥为 16–56 字节，SHA256 原始输出为 32 字节，符合要求）；
- ✅ 错误处理增强：decrypt() 显式检查格式并捕获 OpenSSL 错误，便于调试；
- ✅ 常量替代魔术值：使用 OPENSSL_RAW_DATA 替代 0，提升可读性与健壮性。
使用示例：
$encrypted = encrypt("foo", "hfgdhgdfhgfd");
echo $encrypted; // 输出类似：fJTTArVw8e8=|zJOHacxbs1Q=
$decrypted = decrypt($encrypted, "hfgdhgdfhgfd");
echo $decrypted; // 输出：foo⚠️ 重要提醒：
- 不要硬编码或重复使用 IV，否则会破坏 CBC 模式的安全性；
- BF-CBC 属于较老算法，生产环境建议优先选用 AES-256-CBC 或 AES-256-GCM（支持认证加密）；
- 若需跨语言兼容，请统一 IV 长度、编码方式及填充模式（PHP 默认 PKCS#7）。
遵循此方案，即可彻底解决“解密无响应”的问题，并构建出安全、可靠、可维护的加解密流程。
