需先识别加密类型再针对性处理：用文本编辑器打开文件，观察文件头；若含“ioncube loader”等字样则为ioncube加密，若含zend标识则为zend guard加密，以此类推。
如果您获取到一个经过PHP加密的文件，但无法直接查看或执行其源代码，则可能是该文件使用了如ionCube、Zend Guard或自定义混淆加密等方式进行了保护。以下是打开PHP加密文件的具体方法：
一、确认加密类型
不同加密工具生成的文件具有特定标识或文件头特征，识别加密方式是解密或正确运行的前提。未识别加密类型前，盲目尝试可能造成解析失败或报错。
1、用文本编辑器（如Notepad++或VS Code）以二进制或UTF-8编码打开PHP文件，观察开头几行内容。
2、若首行包含#!/usr/bin/env php后紧跟不可读字符或类似ionCube Loader字样，则大概率为ionCube加密。
立即学习“PHP免费学习笔记（深入）”；
3、若文件开头出现<?php Zend;或/* Zend Guard */等注释，说明使用Zend Guard加密。
4、若文件中大量出现eval(gzinflate(base64_decode(...或自定义函数调用（如__a();、__x();），则属于轻量级PHP混淆或自研加密。
二、安装对应解密运行环境
PHP加密文件通常需依赖特定扩展才能正常解析和执行，仅靠原生PHP无法识别加密字节码。必须在服务器或本地环境中加载匹配的Loader扩展。
1、访问ionCube官网（https://www.ioncube.com/loaders.php），下载与当前PHP版本、操作系统及线程安全（TS/NTS）完全一致的ionCube Loader。
2、将下载的ioncube_loader_*.so（Linux）或php_ioncube_loader_*.dll（Windows）复制到PHP扩展目录（extension_dir）。
3、在php.ini中添加：zend_extension = /path/to/ioncube_loader.so（路径需替换为实际路径）。
4、重启Web服务器（如Apache或Nginx）及PHP-FPM服务，执行php -m | grep ioncube验证是否加载成功。
三、使用Zend Guard Loader（适用于旧版Zend加密）
Zend Guard已于2016年停止维护，其加密文件需通过已弃用但仍可获取的Zend Guard Loader扩展运行，不支持PHP 7.2及以上版本。
1、仅限PHP 5.3–7.1环境，从归档资源或可信镜像站下载对应版本的ZendLoader.dll或ZendLoader.so。
2、在php.ini中添加：zend_extension = /path/to/ZendLoader.so。
3、禁用OPcache（因与Zend Loader存在兼容冲突），在php.ini中设置opcache.enable=0。
4、重启PHP服务后，运行php --ri "Zend" 检查扩展信息是否显示正常。
四、反混淆处理（针对base64/gzinflate类混淆）
此类加密未使用编译级保护，而是将源码编码压缩后嵌入eval()执行，可通过脚本提取原始PHP代码，但需确保运行环境允许eval且无disable_functions限制。
1、新建一个PHP文件（如decode.php），内容为：。
2、将待解密的PHP文件与decode.php置于同一目录。
3、在命令行执行：php decode.php。
4、检查生成的decrypted.php是否为可读PHP源码；若报错gzinflate(): data error，说明混淆层不止一层，需重复提取或手动分析嵌套结构。
五、使用在线或本地解密工具辅助分析
部分开源工具可识别常见混淆模式并自动化还原结构，适用于无Loader权限或仅需查看逻辑的场景，但严禁上传含敏感密钥或数据库凭证的文件。
1、下载php-deobfuscator（GitHub项目），运行python3 deobfuscator.py encrypted.php。
2、使用php-parser配合自定义遍历脚本，提取所有base64_decode参数并批量解码。
3、对含str_rot13、strrev等简单变换的字符串，在PHP交互环境（php -a）中逐条执行还原，例如：echo str_rot13('...');。
