消息加解密是微信PHP开发安全模式下必须实现的环节，核心是用EncodingAESKey对AES-256-CBC加密的XML密文进行解密与回复加密，且需严格校验msg_signature。
PHP微信开发中，消息加解密不是可选项，而是安全模式下必须实现的环节。核心在于：微信服务器推送的消息体默认是AES加密的XML密文，服务端必须用正确的EncodingAESKey解密后才能解析内容；同样，被动回复也必须加密后返回，否则微信会拒绝接收。
加解密触发条件与模式选择
只有被动响应用户消息或事件时才需加解密，主动调用API（如客服消息、菜单接口）不参与该流程。开发者在「开发者中心」可选三种模式：
- 明文模式：不启用加密，URL无额外参数，消息体为原始XML。仅用于调试，正式环境禁用
-
兼容模式：URL带encrypt_type=aes和msg_signature参数，POST体同时含明文+密文字段（
<encrypt></encrypt>包裹密文），适合过渡期验证逻辑 - 安全模式：URL参数同上，但POST体仅含密文字段，且回复也必须是密文。这是唯一推荐上线的模式
关键参数与校验逻辑
接入前必须配置三项基础参数：
- Token：任意字符串，用于URL签名验证（GET请求校验）
- EncodingAESKey：43位Base64字符（含=补位），解码后生成32字节AES密钥。必须严格保管，泄露即需重置
- AppID：公众号原始ID（非开发者ID），解密时用于校验消息来源合法性
每次微信推送都会在URL中携带signature（Token+timestamp+nonce排序SHA1）、timestamp、nonce、echostr（首次验证）或msg_signature（消息体签名）。后者由sha1(sha1(明文+Token)+timestamp+nonce+EncodingAESKey)生成，用于验证密文未被篡改。
立即学习“PHP免费学习笔记（深入）”；
AES加密细节与PHP实现要点
微信采用AES-256-CBC算法，要求：
- 密钥为32字节（即
base64_decode(EncodingAESKey.'=')结果） - IV向量取密钥前16字节
- 明文XML需按PKCS#7规则填充至32字节整数倍
- 加密后Base64编码，作为
<encrypt></encrypt>节点内容
PHP中避免手写加解密逻辑——官方提供WXBizMsgCrypt类（含DecryptMsg/EncryptMsg方法）。常见坑包括：
• 未对echostr做urldecode()导致签名失败
• 解密后XML含不可见控制字符（如BOM头），导致simplexml_load_string()解析失败
• 忽略msg_signature校验直接解密，存在中间人攻击风险
完整流程示例（安全模式）
当用户发送文本消息，微信服务器发起POST请求：
- 接收URL形如：
https://your.domain.com/callback?encrypt_type=aes&msg_signature=xxx×tamp=1714037059&nonce=486452656 - 读取原始POST数据（非
$_POST，因是XML流），提取<encrypt></encrypt>节点值 - 用
WXBizMsgCrypt::DecryptMsg()传入msg_signature、timestamp、nonce、密文，获得标准XML明文 - 解析XML获取
MsgType、Content等字段，执行业务逻辑 - 构造回复XML，调用
EncryptMsg()生成密文，嵌入<encrypt></encrypt>并返回完整XML
