Laravel中修复openssl_encrypt()空初始化向量(iv)不安全警告方法

对查询字符串做DES加密时触发报错，错误信息为：openssl_encrypt(): Using an empty Initialization Vector (iv) is potentially insecure and not recommended，原加密实现代码如下：

<?php
class DES
{
    var $key;
    var $iv;
    function DES( $key, $iv=0 ) {
        $this->key = $key;
        if( $iv == 0 ) {
            $this->iv = $key;
        } else {
            $this->iv = $iv;
        }
    }

    function encrypt($str) {
        return base64_encode( openssl_encrypt($str, 'DES-CBC', $this->key, OPENSSL_RAW_DATA, $this->iv  ) );
    }

}
?>

$str="method=GetUserStatusDV&Key=01234567789ABCDEF0123456789ABCDE&Time=20150101012345&Username=abd12345"; // 示例参数
$key = 'ZyXw4321'; // 示例密钥
$crypt = new DES($key);
$mstr = $crypt->encrypt($str);
$urlemstr = urlencode($mstr);
echo "[ $str ] Encrypted: [ $mstr ] UrlEncoded encrypted string: [ $urlemstr ]";

触发该报错有三个核心原因：

• DES-CBC加密模式要求初始化向量（IV）固定为8字节长度，openssl扩展传入空IV时会直接抛出该安全提示。
• 原代码使用PHP4风格的类同名方法作为构造函数，在Laravel的命名空间运行环境下，该方法不会被识别为合法构造函数，实例化类时$key和$iv的赋值逻辑完全没有执行，$this->iv是未赋值的空值，传入openssl时直接触发空IV报错。
• 原代码用松散比较$iv == 0判断是否使用默认IV，类型判定逻辑不严谨，容易出现IV赋值异常。

• 若业务需要兼容历史DES-CBC加密逻辑，不要使用原手写的旧版DES类，按以下规则重构加密工具类：
  1. 使用标准__construct构造函数替代同名方法，保证在Laravel命名空间环境下能正常初始化属性
  2. 增加IV长度校验逻辑，DES-CBC模式强制IV长度为8字节，避免空值或长度不符合要求的IV传入openssl
     重构后的工具类代码如下，可放在app/Utils目录下按需调用：

<?php
namespace App\Utils;

class DesEncrypt
{
    protected string $key;
    protected string $iv;
    const DES_CBC_IV_LENGTH = 8;

    public function __construct(string $key, string $iv = '')
    {
        $this->key = $key;
        // 强制处理IV为8字节长度，空IV时自动补位，避免触发报错
        if (strlen($iv) !== self::DES_CBC_IV_LENGTH) {
            // 对接历史接口可替换为双方约定的固定8字节IV
            $iv = str_pad(substr($iv, 0, self::DES_CBC_IV_LENGTH), self::DES_CBC_IV_LENGTH, "\0");
        }
        $this->iv = $iv;
    }

    public function encrypt(string $str): string
    {
        return base64_encode(
            openssl_encrypt($str, 'DES-CBC', $this->key, OPENSSL_RAW_DATA, $this->iv)
        );
    }

    public function decrypt(string $cipherText): string
    {
        return openssl_decrypt(
            base64_decode($cipherText),
            'DES-CBC',
            $this->key,
            OPENSSL_RAW_DATA,
            $this->iv
        );
    }
}

调用时显式传入和对接方约定的8字节IV即可，示例：

// 业务逻辑中调用示例
$str = "method=GetUserStatusDV&Key=01234567789ABCDEF0123456789ABCDE&Time=20150101012345&Username=abd12345";
$key = 'ZyXw4321';
// 替换为实际约定的8字节IV，禁止留空
$iv = '12345678';
$desInstance = new \App\Utils\DesEncrypt($key, $iv);
$encryptedStr = $desInstance->encrypt($str);
$urlSafeStr = urlencode($encryptedStr);

• 若为新业务不需要兼容历史DES加密逻辑，直接使用Laravel内置的Crypt门面即可，框架会自动处理IV生成、长度校验、完整性校验等安全逻辑，不会出现空IV报错，调用方式：

use Illuminate\Support\Facades\Crypt;

// 加密
$encrypted = Crypt::encryptString($targetStr);
// 解密
$decrypted = Crypt::decryptString($encrypted);

注意：DES属于已被破解的弱加密算法，新业务优先选择AES等更高安全等级的加密算法，避免安全风险。

内容的提问来源于stack exchange，提问作者user15475623