URL参数中Blowfish加密字符串的加号丢失问题解决方案-php教程

url传递openssl加密字符串时，base64编码中的+符号会被浏览器或服务器误解析为空格，导致解密失败；正确做法是对加密结果执行urlencode()编码、接收时用urldecode()还原，而非更换加密算法。

在Web开发中，将加密数据作为URL参数传递是常见需求，但需特别注意URL编码规范与加密输出格式的兼容性。OpenSSL的openssl_encrypt()默认返回Base64编码字符串（如BNrdu+t/YVgefLcrCxmuug==），而Base64标准中+、/和=具有特殊含义——其中+在URL查询字符串中被明确定义为“空格”的等价符号（依据RFC 3986及HTML表单编码规范）。因此，当该字符串直接拼入URL并经由$_GET或$_REQUEST读取时，+已被中间层（如Web服务器、PHP CGI SAPI）自动转换为空格，造成原始密文损坏，后续openssl_decrypt()必然失败。

✅ 正确处理流程如下（无需更换加密算法）：

1. 发送端：先加密，再URL编码
   对openssl_encrypt()的输出立即调用urlencode()，确保所有特殊字符（+、/、=等）被安全转义：

$passphrase = "testte@t";
$cipher = "bf-cbc"; // 推荐显式使用 'bf-cbc' 而非模糊的 'blowfish'
$id = "20220228-12";

// 使用强初始化向量（IV）提升安全性（生产环境必需）
$ivlen = openssl_cipher_iv_length($cipher);
$iv = openssl_random_pseudo_bytes($ivlen);
$enc_str = openssl_encrypt($id, $cipher, $passphrase, OPENSSL_RAW_DATA, $iv);

// Base64编码 + URL编码（两步不可省略）
$enc_b64 = base64_encode($iv . $enc_str); // 将IV与密文合并编码，便于解密时复用
$enc_url = urlencode($enc_b64);

$url = "https://example.com/?p={$enc_url}";
echo $url;
// 输出示例：https://example.com/?p=ZGFiY2RlZmdoaWprbG1ub3BxcnN0dXZ3eHl6MTIzNDU2Nzg5MA%3D%3D

? 注：openssl_encrypt()默认返回Base64，但为明确控制编码流程，建议使用OPENSSL_RAW_DATA标志获取二进制密文，再手动base64_encode()——此举可避免隐式编码歧义，且便于嵌入IV。

2. 接收端：先URL解码，再Base64解码，最后解密
   严格按相反顺序还原：

$enc_url = $_GET['p'] ?? '';
$enc_b64 = urldecode($enc_url);

// 验证Base64格式有效性（防御恶意输入）
if (!preg_match('/^[a-zA-Z0-9\/\+=]*$/', $enc_b64)) {
    die('Invalid encrypted parameter');
}

$enc_data = base64_decode($enc_b64);
if ($enc_data === false) {
    die('Base64 decode failed');
}

// 提取IV（假设IV长度为8字节，Blowfish-CBC标准）
$ivlen = 8;
$iv = substr($enc_data, 0, $ivlen);
$ciphertext = substr($enc_data, $ivlen);

$decrypted = openssl_decrypt($ciphertext, 'bf-cbc', 'testte@t', OPENSSL_RAW_DATA, $iv);
if ($decrypted === false) {
    die('Decryption failed: ' . openssl_error_string());
}

echo "Decrypted ID: " . htmlspecialchars($decrypted); // 输出：20220228-12

⚠️ 关键注意事项：