PHP自定义类JWT加密令牌方案是否足够安全？

一、当前实现的核心安全缺陷 #

• 密钥复用风险：同一个密钥同时用于AES加密和HMAC签名，违反密钥分离原则。一旦密钥泄露，攻击者既能解密令牌内容，也能伪造合法签名；即使仅加密密钥泄露，也会扩大攻击面。
• 签名与加密顺序不合理：先加密再签名的方式虽能检测篡改，但无法避免重放攻击（无过期机制时）。更安全的做法是使用认证加密算法（如AES-GCM），同时实现加密和完整性校验，规避单独处理加密与签名的顺序风险。
• 缺乏生命周期控制：未添加过期时间（exp）、签发时间（iat）等标准声明，令牌一旦泄露会被永久滥用，无法管控有效周期。
• 非URL友好的编码：原生base64_encode生成的令牌包含+、/、=等特殊字符，在URL或Cookie传输中需额外转义，易因转义不当导致令牌失效。
• 错误处理缺失：json_encode、openssl_encrypt/decrypt等操作可能失败，但代码未做错误捕获，会返回无意义的null，难以排查问题根源。
• 令牌拆分隐患：用explode('.', $decoded)拆分密文和签名时，若令牌被篡改导致分割后元素不足2个，会直接抛出PHP错误，无法优雅返回无效令牌结果。

二、IV处理的严重错误 #

当前用$secretKey作为AES-CBC的IV完全不符合安全规范，核心问题：

• 固定IV导致密文重复：AES-CBC要求每次加密必须使用随机、唯一、不可预测的IV（长度等于AES块大小，即16字节）。固定IV会使相同明文+密钥生成相同密文，攻击者可通过密文重复推断明文内容（如多用户payload包含相同字段时），甚至发起已知明文攻击。
• IV与密钥用途混淆：IV是公开信息，无需保密但必须随机；密钥是保密核心，两者用途完全不同，绝不能混用。

正确的IV处理方式 #

1. 生成安全随机IV：使用PHP7+提供的random_bytes(16)生成IV（避免用rand()或mt_rand()这类不安全的随机数生成器）。
2. 携带IV传输：将IV与密文、签名一起打包进令牌（例如格式为base64url_encode(IV . '.' . encryptedData . '.' . signature)），解码时先拆分出IV再用于解密。

三、替代方案：使用成熟的安全库 #

自研加密令牌系统极易因细节疏漏引入安全隐患，推荐使用经过安全审计的标准库：

• firebase/php-jwt：PHP生态中最流行的JWT实现，支持JWS（签名）和JWE（加密），内置多种加密算法（包括AES-GCM），自动处理IV生成、密钥管理、标准声明等细节。
• lcobucci/jwt：面向对象的JWT库，API设计更严谨，同样支持JWS和JWE，适合对代码结构有要求的项目。
• AES-GCM原生实现：若不想依赖第三方包，可直接用PHP的openssl扩展实现AES-GCM（认证加密算法），同时完成加密和完整性校验，示例代码如下：

function generateGCMToken($data, $secretKey) {
    $payload = json_encode($data);
    $iv = random_bytes(12); // GCM模式推荐12字节IV
    $tag = '';
    $encrypted = openssl_encrypt(
        $payload,
        'aes-256-gcm',
        $secretKey,
        OPENSSL_RAW_DATA,
        $iv,
        $tag
    );
    // 打包IV、密文、标签，用URL安全Base64编码
    return rtrim(strtr(base64_encode($iv . $encrypted . $tag), '+/', '-_'), '=');
}

function decodeGCMToken($token, $secretKey) {
    // 解码URL安全Base64
    $decoded = base64_decode(strtr($token, '-_', '+/'), true);
    if (!$decoded) return null;
    // 拆分IV（12字节）、密文、标签（16字节）
    $iv = substr($decoded, 0, 12);
    $tag = substr($decoded, -16);
    $encrypted = substr($decoded, 12, -16);
    
    $payload = openssl_decrypt(
        $encrypted,
        'aes-256-gcm',
        $secretKey,
        OPENSSL_RAW_DATA,
        $iv,
        $tag
    );
    return json_decode($payload, true);
}

内容的提问来源于stack exchange，提问作者Kamyar Safari