在Laravel中解密MySQL用AES_ENCRYPT加密的遗留数据库字段

刚好处理过类似的遗留数据库集成需求，这事儿其实挺清晰的——核心就是要完全对齐遗留系统的加密逻辑，然后在Eloquent模型里写访问器按需解密。咱们一步步来：

先搞懂遗留加密的关键细节 #

首先得明确：你的遗留系统用的是MySQL原生的AES_ENCRYPT，而它默认用的是AES-128-ECB模式，并且密钥是通过SHA1('你的原始密钥串')生成的二进制哈希，再截断前16字节来用的（因为AES-128要求16字节密钥）。这一步必须完全对应，不然解密肯定失败。

步骤1：生成匹配的解密密钥 #

先在模型里写一个方法生成正确的密钥，建议把原始密钥放到.env里更安全：

/**
 * 获取遗留系统对应的AES解密密钥
 */
private function getLegacyEncryptionKey()
{
    // 替换成遗留系统实际用的原始密钥字符串，比如'my_legacy_secret'
    $rawSecret = env('LEGACY_DB_ENCRYPT_KEY', 'my...');
    
    // 生成二进制SHA1哈希（和MySQL的SHA1()返回一致），再取前16字节
    return substr(sha1($rawSecret, true), 0, 16);
}

划重点：sha1()第二个参数传true才会返回二进制哈希，和MySQL的SHA1()函数输出一致；截断前16字节是因为MySQL的AES_ENCRYPT默认用AES-128，只取密钥的前16字节。

步骤2：编写字段访问器 #

比如要解密first_name字段，直接在模型里写对应的访问器：

/**
 * 解密first_name字段的访问器
 */
public function getFirstNameAttribute($encryptedValue)
{
    // 空值直接返回，避免无效解密
    if (empty($encryptedValue)) {
        return $encryptedValue;
    }

    try {
        // 用OpenSSL解密，完全对齐MySQL的AES_ENCRYPT逻辑
        $decrypted = openssl_decrypt(
            $encryptedValue,
            'AES-128-ECB',
            $this->getLegacyEncryptionKey(),
            OPENSSL_RAW_DATA // 因为数据库存的是二进制varbinary数据
        );

        // 解密失败时返回原始值（或者根据业务需求抛出异常/记录日志）
        return $decrypted ?: $encryptedValue;
    } catch (\Exception $e) {
        \Log::error('解密first_name字段失败: ' . $e->getMessage());
        return $encryptedValue;
    }
}

步骤3：验证解密正确性 #

可以先在MySQL里手动跑解密语句对比结果：

SELECT AES_DECRYPT(first_name, SHA1('你的原始密钥串')) FROM your_table WHERE id = 1;

然后在Laravel里取出对应模型的$model->first_name，看两者是否一致。如果不一致，优先检查：

• 原始密钥字符串是否和遗留系统完全一致（大小写、特殊字符都不能错）
• 有没有用sha1($rawSecret, true)生成二进制哈希
• 是否正确截断了前16字节

优化：批量处理多个加密字段 #

如果有多个varbinary加密字段（比如last_name、email），可以写一个通用解密方法避免重复代码：

/**
 * 通用的遗留字段解密方法
 */
private function decryptLegacyField($encryptedValue)
{
    if (empty($encryptedValue)) return $encryptedValue;

    try {
        return openssl_decrypt(
            $encryptedValue,
            'AES-128-ECB',
            $this->getLegacyEncryptionKey(),
            OPENSSL_RAW_DATA
        ) ?: $encryptedValue;
    } catch (\Exception $e) {
        \Log::error('遗留字段解密失败: ' . $e->getMessage());
        return $encryptedValue;
    }
}

// 各个字段的访问器直接调用这个方法
public function getFirstNameAttribute($value)
{
    return $this->decryptLegacyField($value);
}

public function getLastNameAttribute($value)
{
    return $this->decryptLegacyField($value);
}

这样就搞定了——以后你访问模型的加密字段时，Eloquent会自动调用访问器解密，完全不需要额外查询数据库，按需解密就好。

内容的提问来源于stack exchange，提问作者lorenzo