encryption_key必须是随机二进制串，明文字符串会导致加密失败；应使用openssl_random_pseudo_bytes生成16/24/32字节密钥，hex2bin还原后存入config.php或环境变量，严禁硬编码、动态生成或与密码哈希混用。
encryption_key 必须是随机二进制串，不能是明文字符串
很多人直接在 application/config/config.php 里写 $config['encryption_key'] = 'my-secret-123';，结果加密后数据无法解密，或者换环境就失效。这不是 bug，是密码学设计使然：CodeIgniter 的 AES+HMAC 流程要求密钥具备足够熵值，明文字符串（哪怕很长）经 HKDF 派生后容易碰撞或弱密钥降级。
正确做法是生成真正随机的 16/24/32 字节密钥（对应 AES-128/AES-192/AES-256），然后以二进制形式存入配置：
- 在控制器中临时运行一次：
$this->encryption->create_key(16)，它返回的是原始二进制数据 - 用
bin2hex()转成十六进制字符串保存（便于查看和版本控制），但最终赋值时必须用hex2bin()还原为二进制 - 别存进数据库或 session —— 密钥只该出现在 config.php 或环境变量中
为什么不能在 config.php 里调用 $this->encryption？
因为 config.php 是被框架早期加载的，此时 CI 核心对象（$this、get_instance()）根本不存在，会报错 Call to a member function create_key() on null 或 ci_controller not found in config.php。
解决路径只有两条：
-
推荐：在本地开发环境跑一次脚本生成密钥，手动复制进 config.php。例如：
$key = bin2hex(openssl_random_pseudo_bytes(16)); // PHP 7.0+
然后写入：$config['encryption_key'] = hex2bin($key); - 不推荐动态生成：每次请求都调用
create_key()会导致密钥不一致，之前加密的数据彻底无法解密
加密后数据长度暴涨，存储前必须预估容量
CodeIgniter 加密输出不是简单 base64，而是包含 IV + ciphertext + HMAC tag 的完整封装，默认使用 CBC 模式和 SHA512 HMAC，最终编码为 base64。实测显示："hello"（5 字节）加密后变成约 136 字符；21 字节原文 ≈ 55 字符 base64 输出 —— 实际增长约 2.3–2.6 倍，且按 64 位块对齐向上取整。
这意味着：
- MySQL 字段至少用
TEXT，别用VARCHAR(255)存加密内容 - Cookie 中慎用：单个 cookie 最大 4KB，加密前原文最好控制在 1.5KB 以内
- URL 参数中避免传递加密值：base64 可能含
+、/、=，需额外 urlencode，进一步膨胀
别把 encryption_key 和 password_hash 混用
新手常误以为 encryption_key 也能用来做用户密码哈希，这是危险误区。CodeIgniter 的 encryption 库是为「可逆加解密」设计的，而密码必须用「不可逆哈希」（如 password_hash() + password_verify()）。两者目标完全不同：
- 加密密钥泄露 → 所有加密数据瞬间可读
- 密码哈希盐泄露 → 不影响已哈希密码的安全性
- 千万别用
$this->encryption->encrypt($password)存用户密码 —— 这等于把密码明文锁进一个别人只要拿到 key 就能打开的抽屉
真正的密钥管理难点不在生成，而在隔离：生产环境必须通过环境变量注入，绝不能硬编码在 config.php 里提交到 Git —— 那相当于把保险柜钥匙贴在门上。
