带base64编码和序列化的Mcrypt双向加密问题

更新(解决方案)

由于这篇文章似乎得到了相当多的关注,我想让你知道,最终的解决办法是提供一个适当的 enctype 中的(内容类型)参数 <FORM> 宣言。必须将值设置为 multipart/form-data 防止使用默认的enctype进行编码 application/x-www-form-urlencoded . 下面的一小段摘录 Forms in HTML Documents 在W3.ORG:

内容类型 “application/x-www-form-urlencoded”是 发送大型邮件时效率低下 二进制数据或文本的数量 包含非ASCII字符。这个 内容类型“多部分/表单数据” 应用于提交表单 包含文件、非ASCII数据, 和二进制数据。

以下是正确的表格声明:

<FORM method="POST" action="/path/to/file/" name="encryptedForm" enctype="multipart/form-data">

初始问题

我正在研究一个表单垃圾邮件保护类,它基本上使用mcrypt将表单字段名替换为加密值。问题在于,mcrypt加密不仅限于字母数字字符,而且会使表单字段无效。 考虑到下面的代码,您能想到我在解密已经加密的数组的值时遇到问题的任何原因吗?

/**
 * Two way encryption function to encrypt/decrypt keys with
 * the DES encryption algorithm.
 */
public static function encryption($text, $encrypt = true)
{
    $encrypted_data = '';
    $td = mcrypt_module_open('des', '', 'ecb', '');
    $iv = mcrypt_create_iv(mcrypt_enc_get_iv_size($td), MCRYPT_RAND);
    if (mcrypt_generic_init($td, substr(self::$randomizer, 16, 8), $iv) != -1) {
        if ($encrypt) {
            // attempt to sanitize encryption for use as a form element name
            $encrypted_data = mcrypt_generic($td, $text);
            $encrypted_data = base64_encode($encrypted_data);
            $encrypted_data = 'i' . strtr($encrypted_data, '+/=', '-_.');
            self::$encrypted[] = $encrypted_data;
        } else {
            // reverse form element name sanitization and decrypt
            $text = substr($text, 1);
            $text = strtr($text, '-_.', '+/=');
            $text = base64_decode($text);
            $encrypted_data = mdecrypt_generic($td, $text);
        }
        mcrypt_generic_deinit($td);
        mcrypt_module_close($td);
    }
    return $encrypted_data;
}

稍后,我会使用以下方法调用设置隐藏表单元素的值:

base64_encode(serialize(self::$encrypted))

本质上,隐藏字段包含一个用其加密值加密的所有表单字段的数组。所以我知道哪些字段需要在后端解密。提交表单时,此字段将在后端用以下代码进行分析:

    // load the mapping entry
    $encrypted_fields = $input->post('encrypted', '');
    if (empty($encrypted_fields)) {
        throw new AppException('The encrypted form field was empty.');
    }

    // decompress array of encrypted fields
    $encrypted_fields = @unserialize(base64_decode($encrypted_fields));
    if ($encrypted_fields === false) {
        throw new AppException('The encrypted form field was not valid.');
    }

    // get the mapping of encrypted keys to key
    $data = array();
    foreach ($_POST as $key => $val) {
        // if the key is encrypted, add to data array decrypted
        if (in_array($key, $encrypted_fields)) {
            $decrypted = self::encryption($key, false);
            $data[$decrypted] = $val;
            unset($_POST[$key]);
        } else {
            $data[$key] = $val;
        }
    }

    // merge $_POST array with decrypted key array
    $_POST += $data;

我试图解密加密的表单域密钥失败。它只是在 $_POST 数组。我想也是这样 base64_encoding 或 serialization 正在从中剥离字符 $encrypted_data . 是否有人可以验证这是否是罪魁祸首,以及是否有其他方法来编码表单密钥?