敏感数据须加密存储，密码用password_hash哈希，其他数据用AES加密并密钥外置；2. 传输过程强制HTTPS并配置安全响应头；3. 密钥通过环境变量管理不硬编码；4. 日志禁止记录敏感信息，输入输出需过滤脱敏。
在搭建和维护PHP网站时，敏感数据的安全至关重要。用户密码、身份证号、银行卡信息等一旦泄露，可能造成严重后果。因此，对敏感数据进行加密存储与安全传输是基本要求。以下是实用的配置方法和最佳实践。
1. 敏感数据加密存储
数据库中不应以明文保存任何敏感信息。必须使用合适的加密或哈希机制保护数据。
密码存储：使用强哈希算法密码绝不能加密存储（即使可逆加密也不推荐），而应使用单向哈希处理：
- PHP内置的 password_hash() 函数是首选，基于bcrypt算法，自动加盐
- 验证时使用 password_verify()
$hashedPassword = password_hash($password, PASSWORD_DEFAULT);
// 存入数据库
if (password_verify($inputPassword, $hashedPassword)) {
echo "登录成功";
}
这类数据可能需要解密读取，建议使用对称加密：
立即学习“PHP免费学习笔记（深入）”；
建议做法：将加密密钥存放在环境变量或服务器配置文件中，例如通过 .env 文件加载：
$key = getenv('DATA_ENCRYPTION_KEY');
$iv = openssl_random_pseudo_bytes(16);
$encrypted = openssl_encrypt($data, 'AES-256-CBC', $key, 0, $iv);
// 存储 $iv 和 $encrypted
2. 数据传输过程中的安全
确保用户与服务器之间的通信不被窃听或篡改。
强制使用 HTTPS
所有涉及敏感操作的页面都必须通过 HTTPS 访问：
- 申请并部署有效的SSL证书（Let's Encrypt 免费可用）
- 在 Nginx/Apache 中配置强制跳转 HTTPS
- 在 PHP 中可通过判断 $_SERVER['HTTPS'] 确保安全上下文
增强浏览器层面的防护：
- HTTP Strict Transport Security (HSTS)：防止降级攻击
- Content-Security-Policy：减少 XSS 风险
- X-Content-Type-Options: nosniff
可在 PHP 开头加入：
header("Strict-Transport-Security: max-age=31536000; includeSubDomains");
header("X-Content-Type-Options: nosniff");
header("Content-Security-Policy: default-src 'self'");
3. 密钥与配置安全管理
再强的加密也抵不过密钥暴露。
- 加密密钥、数据库密码等敏感配置不要写在代码里
- 使用 .env 文件配合 dotenv 类库管理（如 vlucas/phpdotenv）
- .env 文件应排除在版本控制之外（加入 .gitignore）
- 生产环境通过服务器环境变量注入密钥
4. 日志与输入输出控制
避免敏感信息意外泄露。
- 禁止在日志中记录密码、密钥、完整身份证号等
- 对用户输入做过滤和转义，防止 SQL 注入和 XSS
- 输出到前端的数据需脱敏，例如显示银行卡号只显示后四位
基本上就这些。关键是形成安全习惯：该哈希的哈希，该加密的加密，全程走 HTTPS，密钥不进代码。做到这几点，大多数常见风险就能规避。
