在PHP项目开发过程中，敏感信息的保护是安全建设的核心环节之一，常见的敏感信息包括数据库连接凭证、第三方服务API密钥、支付相关密钥、用户隐私数据等，一旦这些信息被非法获取，可能会导致数据泄露、服务被恶意调用等严重后果。因此掌握合理的敏感信息保护机制，学会隐藏配置与关键数据是非常必要的。
一、使用环境变量存储敏感配置
最推荐的方式是将敏感配置从代码中剥离，通过环境变量来读取，这样即使代码被泄露，攻击者也无法获取到实际的敏感信息。PHP可以通过getenv()函数或者超全局变量$_ENV来获取环境变量。
首先可以在服务器层面设置环境变量，比如Nginx可以在配置文件中添加：
# nginx配置示例
location ~ .php$ {
fastcgi_param DB_HOST 127.0.0.1;
fastcgi_param DB_USER root;
fastcgi_param DB_PASS your_db_password;
fastcgi_param API_KEY your_api_key;
}
如果是本地开发环境，也可以使用phpdotenv库来加载.env文件中的配置，注意.env文件一定要加入.gitignore避免被提交到代码仓库。PHP中读取环境变量的代码示例如下：
<?php
// 读取数据库配置
$dbHost = getenv('DB_HOST') ?: '127.0.0.1';
$dbUser = getenv('DB_USER') ?: 'root';
$dbPass = getenv('DB_PASS') ?: '';
$dbName = getenv('DB_NAME') ?: 'test';
// 建立数据库连接
$conn = new mysqli($dbHost, $dbUser, $dbPass, $dbName);
if ($conn->connect_error) {
die('数据库连接失败: ' . $conn->connect_error);
}
?>
二、隐藏PHP版本与配置信息
默认的PHP配置会暴露版本信息，攻击者可以通过版本信息寻找对应版本的漏洞，因此需要隐藏这些信息。
1. 隐藏PHP版本号
修改php.ini配置文件，将expose_php设置为Off：
; php.ini配置 expose_php = Off
设置完成后，响应头中不会再包含X-Powered-By: PHP/版本号的信息。
2. 关闭错误详情显示
生产环境绝对不能将错误信息直接展示给用户，需要关闭错误显示，同时将错误记录到日志中：
; php.ini配置 display_errors = Off log_errors = On error_log = /var/log/php/error.log
这样即使代码出现错误，用户也不会看到包含路径、变量等敏感信息的错误提示，错误信息只会记录在指定的日志文件中。
三、关键数据的加密处理
对于需要存储的关键敏感数据，比如用户密码、支付信息等，不能直接明文存储，需要使用合适的加密算法处理。
1. 用户密码加密
用户密码绝对不能使用md5、sha1等容易被破解的哈希算法，PHP提供了password_hash()和password_verify()函数来处理密码的哈希和验证，内部使用的是bcrypt算法：
<?php
// 用户注册时密码加密存储
$userPassword = $_POST['password'];
$hashedPassword = password_hash($userPassword, PASSWORD_DEFAULT);
// 将$hashedPassword存入数据库
// 用户登录时验证密码
$inputPassword = $_POST['password'];
$storedHash = '从数据库读取的哈希值';
if (password_verify($inputPassword, $storedHash)) {
echo '密码验证通过';
} else {
echo '密码错误';
}
?>
2. 普通敏感数据加密
对于非密码类的敏感数据，比如用户的手机号、身份证号等，如果需要可逆加密，可以使用openssl扩展提供的加密函数：
<?php
// 加密密钥，需要妥善保管，不要硬编码在代码中
$key = getenv('ENCRYPT_KEY');
$data = '用户手机号13800138000';
// 加密
$iv = openssl_random_pseudo_bytes(openssl_cipher_iv_length('AES-256-CBC'));
$encrypted = openssl_encrypt($data, 'AES-256-CBC', $key, 0, $iv);
// 存储时可以把iv和加密结果拼接，方便解密
$saveData = base64_encode($iv . $encrypted);
// 解密
$decoded = base64_decode($saveData);
$ivLength = openssl_cipher_iv_length('AES-256-CBC');
$iv = substr($decoded, 0, $ivLength);
$cipherText = substr($decoded, $ivLength);
$decrypted = openssl_decrypt($cipherText, 'AES-256-CBC', $key, 0, $iv);
echo $decrypted;
?>
四、避免敏感信息泄露的编码规范
除了上述机制，日常编码中也需要遵守相关规范，避免敏感信息意外泄露：
- 不要将敏感信息硬编码在代码中，尤其是不要提交到公共代码仓库
- 调试日志中不要打印敏感数据，比如不要打印完整的API密钥、用户密码
- 接口响应中不要返回多余的敏感字段，比如用户列表接口不要返回用户密码哈希
- 文件上传目录不要放在web可访问的路径下，避免上传的包含敏感信息的文件被直接访问
- 定期清理日志文件，避免日志中积累的敏感信息被非法获取
五、常见误区提醒
很多开发者认为把配置文件放在web目录之外就绝对安全，实际上如果PHP代码存在文件读取漏洞，攻击者还是可能读取到配置文件内容，因此结合环境变量、加密等多层机制才是更稳妥的保护方式。
另外不要依赖hidef等扩展来隐藏配置，这些扩展只是减少了配置的暴露面，并没有从根本上解决敏感信息存储的问题，核心还是要将敏感信息和代码解耦，同时做好加密和访问控制。