背景
因为项目的php代码需要保密处理,stackoverflow上找到两个选择
- Zend Guard付费
- Thicket Obfuscator for PHP
- PHPprotect免费但是对代码混淆力度小,只是修改了变量的名称,基本满足需求
推荐使用opcache方式
1.安装Opcache扩展
php7默认是安装opcache的，我的配置为什么没有启用是因为没有加 zend_extension=opcache.so 创建opcode缓存目录: mkdir -m 777 /php_opcache/opcache_file_cache php.ini 配置文件和其他地方有点不同
1zend_extension=opcache.so 2opcache.memory_consumption=128 3opcache.interned_strings_buffer=8 4opcache.max_accelerated_files=4000 5;opcache不保存注释,减少opcode大小 6opcache.save_comments=0 7;关闭PHP文件时间戳验证 8opcache.validate_timestamps=Off 9;每60秒验证php文件时间戳是否更新 10;opcache.revalidate_freq=60 11opcache.fast_shutdown=1 12;注意,PHP7下命令行执行的脚本也会被 opcache.file_cache 缓存. 13opcache.enable_cli=1 14;设置不缓存的黑名单 15;opcache.blacklist_filename=/png/php/opcache_blacklist 16opcache.file_cache=/php_opcache/opcache_file_cache 17opcache.file_cache_only=0 18opcache.enable=On
WARNING:设置opcache缓存目录opcache.file_cache=/php_opcache/opcache_file_cache
重启 php-fpm restart
2.遍历项目的全部文件,生成opcache 二进制文件
遍历项目脚本 generate_project_opcache.php
1<?php 2//你的php项目目录 3$yourProjectPath = '/data/php/project_dir'; 4opcache_compile_files($yourProjectPath); 5function opcache_compile_files($dir) { 6 foreach(new RecursiveIteratorIterator(new RecursiveDirectoryIterator($dir)) as $v) { 7 if(!$v->isDir() && preg_match('%\.php$%', $v->getRealPath())) { 8 //生成opcache编译文件 9 opcache_compile_file($v->getRealPath()); 10 echo $v->getRealPath()."\n"; 11 } 12 } 13}
在命令行中执行 php generate_project_opcache.php遍历项目全部代码文件,生成opcache缓存 全部php文件都生成PHP文件一一对应的opcode(后缀为.php.bin)
把缓存目录所有者设为php-fpm运行用户,我这里是png: sudo chown -R png:png /php_opcache/opcache_file_cache
3.最后一步
** 清空 php源代码里面内容 ** 只保留文件名和目录结构 启动php-fpm: sudo php-fpm start 访问的你的项目
最后
其中xxx是一个32位的md5编码的字符串. 部署到目标服务器的时候,需要保留项目中内容被清空的PHP脚本. 而且路径一定要对应导出opcode时的路径,文中的就是: /png/www/example.com/public_html/app/pma 另外,PHP还可以使用函数php_strip_whitespace()删除PHP源码中的注释和空格.
opcache.file_cache用来保护代码逻辑应该还是可以的, 但不能确保里面定义的量的安全,比如加密密钥.存也可以,但防君子不防小人,门槛高点而已.
- Zend Guard和ionCube加密的PHP脚本可以用DeZender/De-ionCube解密)
- Java字节码和Android APK可以用Java Decompiler反编译
- Python脚本可以编译成pyc文件,不过pyc文件也很容易被反编译. 所以包括opcache.file_cache这样的代码保护,也只能防君子不防小人.