导入时应直接对敏感字段AES加密，而非入库后再处理；使用openssl_encrypt()配合随机IV和环境变量密钥，Excel解析阶段逐行加密phone、id_card、parent_phone等字段后插入数据库。
导入时直接对敏感字段 AES 加密，别等入库后再处理
班级通信录里 phone、id_card、parent_phone 这类字段，不能明文进数据库。PHP 导入 Excel 或 CSV 时就该加密，而不是先存再批量更新——后者容易留下明文窗口期，也增加事务复杂度。
推荐用 OpenSSL 的 openssl_encrypt()，AES-256-CBC 模式，配合随机 IV（每次加密不同）：
$key = hash('sha256', $_ENV['ENCRYPTION_KEY'], true); // 固定密钥派生
$ivlen = openssl_cipher_iv_length($cipher = 'AES-256-CBC');
$iv = random_bytes($ivlen);
$encrypted = openssl_encrypt($raw_value, $cipher, $key, 0, $iv);
$storage_value = base64_encode($iv . $encrypted); // IV 和密文拼接后 base64 存库
- IV 必须随密文一起存储，否则无法解密；
base64_encode($iv . $encrypted)是最简方案 - 别用
mcrypt（已废弃）或自己拼接字符串当 IV（不安全） - 密钥别硬编码，从环境变量或配置中心读取，且确保
ENCRYPTION_KEY长度足够（建议 ≥32 字符）
Excel 导入解析阶段就调用加密逻辑，别拖到 Model save() 里
用 phpspreadsheet 读取 Excel 时，逐行遍历 $row 后立即加密敏感字段，再构造数据数组插入数据库。这样能避免“先写临时表 → 再更新加密 → 再改状态”的多步操作。
示例关键片段：
立即学习“PHP免费学习笔记（深入）”；
use PhpOffice\PhpSpreadsheet\IOFactory;
$spreadsheet = IOFactory::load($file_path);
$worksheet = $spreadsheet->getActiveSheet();
foreach ($worksheet->getRowIterator() as $row) {
$cellIterator = $row->getCellIterator();
$cellIterator->setIterateOnlyExistingCells(false);
$data = [];
foreach ($cellIterator as $cell) {
$col = $cell->getColumn();
$val = trim((string)$cell->getValue());
if (in_array($col, ['D', 'E', 'F'])) { // 假设 D=id_card, E=phone, F=parent_phone
$val = encrypt_field($val); // 复用上面的加密函数
}
$data[$col] = $val;
}
insert_student_record($data); // 直接插入加密后数据
}
- 列映射关系（如
'D' => 'id_card'）建议抽成配置数组，方便后续调整 - 空值或非法格式（如非数字手机号）要提前过滤或抛异常，避免加密空字符串或报错中断导入
- 不要在 Eloquent 的
mutator里做加密——导入批量场景下，模型事件开销大，且难以控制加密时机
解密必须校验 IV 长度和密文完整性，否则会静默失败
解密时常见错误是直接 base64_decode 后硬拆前 16 字节当 IV，但若原始数据被截断或损坏，openssl_decrypt() 可能返回 false 却不报错，导致页面显示空值。
安全解密写法：
function decrypt_field(string $encrypted): ?string
{
$decoded = base64_decode($encrypted);
if ($decoded === false || strlen($decoded) < 16) {
return null; // IV 最小长度 16（AES-CBC）
}
$ivlen = 16;
$iv = substr($decoded, 0, $ivlen);
$ciphertext = substr($decoded, $ivlen);
$key = hash('sha256', $_ENV['ENCRYPTION_KEY'], true);
$plaintext = openssl_decrypt($ciphertext, 'AES-256-CBC', $key, 0, $iv);
return $plaintext === false ? null : $plaintext;
}
- 必须检查
base64_decode返回值是否为false，Base64 损坏时很常见 -
openssl_decrypt()失败只返回false，没有异常，靠返回值判断 - 生产环境建议加日志：记录哪些 ID 的字段解密失败，便于追溯数据问题
导出时要不要解密？取决于权限模型和前端需求
班级通信录导出 Excel，通常只有班主任/管理员能看明文。普通教师只能导出脱敏数据（如 138****1234）。所以「导出即解密」不是默认动作，而是权限+场景驱动。
- 管理员导出：调用
decrypt_field()，还原真实值 - 任课教师导出：跳过解密，或走脱敏函数（
mask_phone($encrypted)） - API 接口返回数据时，敏感字段统一走
decrypt_field()，但需确认该接口是否带鉴权（JWT / session），避免未授权访问
加密字段本身不具备可索引性，如果业务需要按手机号模糊搜索，得额外建 phone_hash（如 SHA256(phone)）字段用于查询，明文仍只保留在加密字段中。
