防止解密后PHP代码被二次加密需五步：一、卸载ionCube等加密扩展并验证；二、禁用eval等危险函数并扫描代码；三、设代码目录为只读权限；四、清空OPcache缓存；五、建立文件哈希校验机制并锁定校验文件。
如果PHP代码经过解密处理后，仍面临被再次加密的风险，则可能由于原始加密机制残留、自动打包工具介入或部署环境存在恶意脚本。以下是防止解密后代码被二次加密的具体操作步骤：
一、移除所有加密扩展模块
PHP运行时若加载了如ionCube、SourceGuardian或Zend Guard等扩展，可能在代码执行过程中触发自动再加密行为或混淆钩子。需彻底卸载相关扩展以阻断加密链路。
1、打开php.ini文件，查找并注释掉所有与加密相关的extension行，例如：extension=ioncube.so、extension=sourceguardian.so。
2、确认Web服务器配置中未通过ini_set()或auto_prepend_file方式动态加载加密扩展。
立即学习“PHP免费学习笔记（深入）”；
3、重启PHP-FPM或Apache服务，并执行php -m命令验证输出中不再包含ioncube、sg、zend等关键词。
二、禁用危险的PHP函数与动态执行功能
部分加密脚本依赖eval()、assert()、create_function()、base64_decode()等函数实现运行时解密与重写，关闭这些函数可切断二次加密的执行基础。
1、在php.ini中定位disable_functions指令，追加：eval,assert,create_function,base64_decode,base64_encode,gzinflate,gzdeflate,call_user_func_array,call_user_func。
2、检查所有已部署的PHP文件，删除或注释掉含上述函数的代码段，尤其是config.php、common.php等全局引入文件。
3、使用grep命令扫描项目目录：grep -r "eval\|assert\|create_function" ./ --include="*.php"，对匹配结果逐一核查。
三、设置文件系统只读权限
防止加密脚本通过fwrite、file_put_contents等函数覆盖已解密的PHP源文件，需将关键代码目录设为操作系统级只读。
1、进入项目根目录，执行：chmod -R 555 ./app ./src ./includes（仅保留读取与执行权限）。
2、对web可访问目录下的index.php等入口文件单独设置：chmod 444 index.php。
3、确认Web服务器用户（如www-data或nginx）无写入权限，运行：sudo -u www-data touch test.php 2>/dev/null || echo "权限生效"，若输出“权限生效”则表示写入已被阻止。
四、清除OPcache中的加密字节码缓存
PHP OPcache可能缓存加密后的opcode，导致即使源文件已解密，实际执行的仍是旧加密版本。必须强制刷新并禁用自动重编译机制。
1、在php.ini中设置：opcache.validate_timestamps=0，避免缓存自动更新干扰判断。
2、调用opcache_reset()函数，可在临时脚本中执行：，并直接浏览器访问该脚本。
3、重启PHP-FPM服务，确保opcache状态清空，可通过phpinfo()页面确认“Cached scripts”数量为0。
五、校验并锁定核心文件哈希值
通过定期比对文件MD5/SHA256值，可即时发现是否发生非预期修改。将校验逻辑嵌入启动流程，一旦检测异常即终止执行。
1、生成当前解密后全部PHP文件的SHA256列表：find ./ -name "*.php" -type f -exec sha256sum {} \; > /var/www/.filehash.db。
2、在项目入口index.php顶部添加校验代码段：if (hash_file("sha256", __FILE__) !== trim(file_get_contents("/var/www/.filehash.db"))) { die("File integrity violation"); }。
3、将/var/www/.filehash.db文件权限设为400，并归属root用户：chmod 400 /var/www/.filehash.db && chown root:root /var/www/.filehash.db。
