PHP分布式任务框架需在应用层手动集成加密，必须用openssl_encrypt()配合随机IV和正确密钥长度（如AES-256需32字节），CBC模式须每次生成新IV并拼接存储，GCM模式需PHP 7.1+支持且带认证标签，严禁硬编码密钥或复用IV。
PHP分布式任务框架本身不内置加密配置能力，必须在应用层手动集成加密逻辑；直接把密钥写进配置文件或硬编码进任务类，等于把保险柜钥匙钉在门上。
openssl_encrypt() 加密配置值前必须处理 IV 和模式差异
很多开发者用 openssl_encrypt() 加密 Redis 连接串或 MQ 密码时，发现解密失败，根本原因是没统一加密参数。CBC 模式要求每次生成新 $iv，且必须和密文一起存储；而 GCM 模式能自带认证标签，但 PHP 7.1+ 才稳定支持。
- 别用
md5($key)当 AES 密钥——长度不对、无熵、可预测 - 密钥长度必须匹配算法：AES-256 要 32 字节，
base64_decode()后再用，不是直接传字符串 -
$iv必须用openssl_random_pseudo_bytes()生成，不能复用，也不能用时间戳或 rand() - 加密后建议
base64_encode($iv . $encrypted)存储，解密时先切分再还原
Laravel Horizon / Symfony Messenger 的密钥管理陷阱
Horizon 的 .env 里写 REDIS_PASSWORD=xxx 是明文，哪怕用了 TLS，Redis 日志、慢查询日志、redis-cli monitor 都可能泄露。Messenger 的 AMQP_DSN 同理。
- 不要在
.env直接存敏感字段，改用config('queue.connections.redis.password')从外部加载 - 用 Laravel 的
php artisan tinker测试时，避免在交互式环境里 echo 明文密码 - Symfony Messenger 推荐用
Secrets Vault或aws:secretsmanagerURI 方式注入 DSN，而非parameters.yml - Horizon 控制台页面默认暴露队列名、失败任务数——关掉
HORIZON_ENABLED=false或加 IP 白名单
任务序列化数据中的敏感字段怎么防泄漏
当任务类带 public $user_id、public $token 属性，且用 serialize() 或 JSON 存进 Redis，这些字段就裸奔了。即使队列传输走 HTTPS，存储层仍是明文。
立即学习“PHP免费学习笔记（深入）”；
- 重写任务的
__serialize()方法，过滤掉敏感属性，只保留必要 ID 或哈希标识 - 避免在任务对象里存原始密码、API key、JWT token——改存
token_hash = hash_hmac('sha256', $token, $secret) - 用
sodium_crypto_secretbox()替代openssl_encrypt()加密整个任务 payload，它自带 nonce 管理，更难出错 - Redis 设置
rename-command CONFIG ""，禁用危险命令，防止攻击者 dump 数据库
最常被忽略的是任务重试机制：失败任务自动重入队列时，如果加密逻辑没覆盖重试上下文，第二次执行可能用错密钥或过期 IV。加密不是“加一层壳”，而是每个环节都要确认密钥生命周期、IV 唯一性、以及解密失败时的降级策略。
