ThinkPHP文件加密需分三类处理：一是源码混淆文件须部署前用base64/gzinflate逐层解码还原为合法PHP代码；二是配置文件加密必须在public/index.php入口处手动解密并调用Config::set()注入，密钥从环境变量获取；三是不可在中间件或控制器中动态解密源码，因PHP解析阶段无法干预require/include行为。
一、被混淆/加密的 PHP 源码文件（如 app/、controller/ 下的 .php 文件）
这类文件通常不是用 AES 等强加密，而是通过 base64 + gzinflate + eval 多层混淆，目的是隐藏后门、盗版授权或绕过审查。它不能“运行时解密”，必须先还原成可读、可解析的 PHP 源码，再部署。
- 用文本编辑器打开文件，确认是否含
eval(base64_decode(、gzinflate(base64_decode(或assert(gzuncompress(等典型结构 - 新建一个本地
decode.php，提取并逐层解码（示例）：
<?php
$content = file_get_contents('YourController.php');
if (preg_match('/eval\(\s*(?:base64_decode|gzinflate)\((.*?)\)\s*\);/s', $content, $m)) {
$str = trim($m[1], "'\"");
if (strpos($m[0], 'base64_decode') !== false) {
echo base64_decode($str);
} elseif (strpos($m[0], 'gzinflate') !== false) {
echo gzinflate(base64_decode($str));
}
}
?>
- 执行
php decode.php > decoded.php，检查输出是否为合法 PHP 代码；若仍有eval嵌套，重复上述步骤 - 还原后的文件需手动替换原文件，并确保语法正确（可用
php -l decoded.php验证）
二、加密的配置文件（如 config/database.php.enc）
这是正规安全实践，但不能在 config.php 里写解密逻辑——因为 ThinkPHP 的 Config 类在框架初始化极早期就加载，此时 Crypt 服务、环境变量甚至容器都未注册，会直接报 Class not found 或返回空数组。
- 真正可行的做法：在
public/index.php入口最上方接管加载流程 - 手动读取
config/database.php.enc→ 用openssl_decrypt解密 →json_decode或include解析 → 调用\think\Config::set()注入 - 密钥必须从
$_ENV或getenv('DB_KEY')安全加载，严禁硬编码 - 切勿修改
think\Loader::loadConfig()——它是静态方法，强耦合多处，patch 后易引发连锁崩溃
三、为什么不能在中间件或控制器里解密源码文件？
源码文件（.php）是在 PHP 解析阶段由 Zend 引擎直接加载执行的，不是 HTTP 请求数据。中间件只处理请求/响应生命周期，对 require 或 include 的文件无干预能力。试图在运行时“动态解密并重载类文件”，既不可靠，也违背 PHP 执行机制。
立即学习“PHP免费学习笔记（深入）”；
- 想让加密的控制器正常工作？唯一办法是部署前还原为标准 PHP 文件
- 若使用自定义 Loader（如从数据库加载控制器），那属于高级定制，需重写
think\Loader并确保所有自动加载路径兼容
