本文介绍一种面向初学者的商业保护方案：将 php 核心检查逻辑部署在自有服务器，买家仅调用受 api 密钥鉴权的远程接口，从而避免源码泄露，兼顾可售性与安全性。
在销售前端型检查器（Checker）脚本时，HTML/CSS/JavaScript 无法真正加密——这是浏览器本质决定的。但关键逻辑（如账号验证、规则校验、数据库查询等）必须保留在服务端。最有效且易于实现的保护方式，不是“隐藏 PHP 文件”，而是根本不交付它：将 PHP API 作为托管服务运行在你自己的服务器上，并通过 API 密钥（API Key）控制访问权限。
✅ 推荐架构：SaaS 化 Checker 服务
- 买家只获得精简版前端（index.html + checker.js），其中 JS 不含业务逻辑，仅负责收集用户输入、拼接请求、调用你的远程 API；
- 所有敏感操作（如解析凭证、连接目标系统、返回结果）均由你服务器上的 PHP 接口完成；
- 每次请求必须携带唯一、可追踪的 API Key，你的 PHP 后端强制校验其有效性（存在性、状态、配额、绑定域名/IP 等）。
? 基础 API 密钥验证示例（PHP 后端）
// api/check.php（部署在你的服务器，如 https://api.yourdomain.com/check.php）
'Missing API Key']);
exit;
}
// 2. 简单密钥白名单（生产环境请改用数据库+哈希存储）
$validKeys = [
'ck_abc123xyz' => ['status' => 'active', 'domain' => 'buyer-site.com'],
'ck_def456uvw' => ['status' => 'active', 'domain' => 'another-buyer.net']
];
if (!isset($validKeys[$apiKey]) || $validKeys[$apiKey]['status'] !== 'active') {
http_response_code(403);
echo json_encode(['error' => 'Invalid or disabled API Key']);
exit;
}
// 3. 可选：校验请求来源（防止 Key 被盗用到其他域名）
$origin = $_SERVER['HTTP_ORIGIN'] ?? $_SERVER['HTTP_REFERER'] ?? '';
$allowedDomain = parse_url($validKeys[$apiKey]['domain'], PHP_URL_HOST) ?? '';
if ($allowedDomain && !str_ends_with($origin, $allowedDomain)) {
http_response_code(403);
echo json_encode(['error' => 'Origin mismatch']);
exit;
}
// 4. ✅ 此处执行你的核心检查逻辑（例如：处理 $_POST['credentials']）
$data = $_POST['credentials'] ?? '';
$result = performActualCheck($data); // 你的私有函数
echo json_encode(['success' => true, 'data' => $result]);
?>? 前端调用示例（买家的 checker.js）
async function runCheck(credentials) {
try {
const response = await fetch('https://api.yourdomain.com/check.php', {
method: 'POST',
headers: {
'Content-Type': 'application/x-www-form-urlencoded',
'X-API-Key': 'ck_abc123xyz' // 买家专属密钥，硬编码或由你动态注入
},
body: new URLSearchParams({ credentials: JSON.stringify(credentials) })
});
const result = await response.json();
if (result.success) {
showResult(result.data);
} else {
alert('检查失败：' + result.error);
}
} catch (e) {
alert('网络错误，请稍后重试');
}
}⚠️ 关键注意事项
- 绝不暴露密钥生成逻辑：API Key 应由你后台生成并手动分发，避免前端参与生成；
- 禁用 CORS 宽松策略：使用 Access-Control-Allow-Origin 精确限制允许调用的域名；
- 记录与监控：记录每次 API 调用（时间、Key、IP、响应码），便于异常检测和计费审计；
- 渐进式增强：初期可用简单数组白名单；后续升级为数据库存储 + JWT + 速率限制 + Webhook 通知；
- 法律兜底：在销售协议中明确约定 API Key 为授权凭证，禁止共享、反向工程或绕过验证。
这种方式让你完全掌控核心资产，同时为买家提供即开即用的体验。即使 HTML/JS 被复制，没有有效的 API Key 和你的服务支撑，检查器将彻底失效——这才是真正可持续的商业化保护路径。
