后台登录触发openssl_decrypt IV长度不符错误，求解决方案

针对你在管理员登录时遇到的openssl_decrypt执行错误，结合你的代码和限制条件（不能更改AES模式），可以从以下几个关键方向排查修复：

1. 修正密钥长度匹配问题 #

AES-128-CTR要求密钥长度严格为16字节（128位），AES-256-CTR则要求32字节（256位）。你的当前密钥长度远超过16字节，OpenSSL会自动截断密钥到对应长度，但如果加密时使用的是完整密钥或不同截断规则，就会导致解密失败。

• 确认加密端使用的密钥长度：如果加密用的是AES-128，截取当前密钥的前16字节作为解密密钥；如果是AES-256，截取前32字节。
• 示例调整（AES-128）：

  $decryption_key = substr("(Ct:>)xByg68>In&l1P!;6dhd>llD-zel.9aSC+986cn;j8,.J", 0, 16);
  

2. 修正IV（初始向量）长度 #

AES-CTR模式的IV长度必须等于AES块大小，也就是16字节。你的当前IV长度为23字节，OpenSSL会自动截断，但如果加密时使用的是完整长度的IV，解密时截断后的IV会不匹配，直接导致解密失败。

• 将IV调整为16字节，并且必须和加密时使用的IV完全一致：

  $decryption_iv = substr('4F109F987HJ91597CCB4AF4D6', 0, 16);
  

  注意：如果加密时使用的是其他16字节IV，必须替换为对应值，不能随意截取。

3. 调整填充模式参数 #

CTR属于流密码模式，不需要填充。你的代码中$options = 0会启用默认的PKCS#7填充，这可能导致解密时的填充校验失败。

• 将options参数改为OPENSSL_NO_PADDING：

  $options = OPENSSL_NO_PADDING;
  

  注意：如果加密时确实使用了填充，则保留0，但CTR模式下很少使用填充，优先尝试无填充配置。

4. 验证加密输入的格式 #

确保传入openssl_decrypt的$string格式与加密输出一致：

• 如果加密后的数据是Base64编码的，保持当前配置即可（默认options=0会自动解码Base64）；
• 如果加密后是原始二进制数据，需添加OPENSSL_RAW_DATA到options：

  $options = OPENSSL_NO_PADDING | OPENSSL_RAW_DATA;
  

最终调整后的示例代码 #

private function decryptString($string){
    $ciphering = "AES-128-CTR";  
    $options = OPENSSL_NO_PADDING; // 流模式无需填充
    $decryption_iv = substr('4F109F987HJ91597CCB4AF4D6', 0, 16); // 截断为16字节IV
    $decryption_key = substr("(Ct:>)xByg68>In&l1P!;6dhd>llD-zel.9aSC+986cn;j8,.J", 0, 16); // 截断为16字节密钥
    $decryption = openssl_decrypt($string, $ciphering, 
                $decryption_key, $options, $decryption_iv); 
    return $decryption;
}

内容的提问来源于stack exchange，提问作者Matt Grimes