日志脱敏必须在加密前完成，先对原始结构化数据中的phone、id_card等字段用哈希+盐等方式脱敏，再用openssl_encrypt加密；iv须每次随机生成并随密文存储，避免复用或可预测值。
日志脱敏必须在加密前完成
加密不能代替脱敏，反过来也一样。用 openssl_encrypt 直接加密含明文手机号的日志，等于把敏感信息锁进一个带钥匙的保险箱——但钥匙（密钥）一旦泄露，所有数据瞬间还原。真正安全的做法是先擦除/替换敏感字段，再加密整个日志体。
常见错误现象：file_put_contents('log.enc', openssl_encrypt($raw_log, 'AES-256-CBC', $key, 0, $iv)) —— 这样加密后，日志里仍存有 "phone":"138****1234" 这类“伪脱敏”内容，而 **"138****1234" 不是脱敏，是掩码，它可被逆向推测或撞库还原**。
- 脱敏操作必须作用于原始结构化数据（如
$log_array），而非加密后的二进制流 - 推荐在写入日志前、序列化前处理：对
phone、id_card、email等键做正则替换或哈希截断 - 避免用固定掩码（如全替成
"***"），优先用单向哈希+盐（如hash_hmac('sha256', $phone, $salt)）保留可关联性又不可逆
PHP中用 openssl_encrypt 加密日志要注意 IV 复用风险
IV（初始化向量）不是密码，但它的重复使用会让相同明文生成相同密文，破坏语义安全性。日志场景下尤其危险：如果每天固定时间写一条格式相似的调试日志（如 {"level":"debug","msg":"start"}），IV 复用就等于给攻击者送出了可比对的密文样本。
使用场景：批量归档旧日志时，容易为省事用同一个 $iv 变量循环加密多条记录。
立即学习“PHP免费学习笔记（深入）”；
