先说结论：加密后的文件不会以可读源码的形式交到客户手里。想把它变回能读的代码，得有人为这个文件做一整套逆向工程，代价通常比他重写一遍、或者直接买你的授权更高——不划算，也就没人做了。
有些工具写「100% 不可还原」。PHP 是解释型语言，代码最终要在客户自己的服务器上跑起来，这一步就决定了任何纯 PHP 方案都做不到「零可能」。我们不拿这种话换一次成交，力气花在把代价抬上去：
- 站点密钥分离：密钥单独放在一个随机命名的文件里，只拿走一个加密文件跑不起来；
- 载荷完整性自校验：改一个字节就拒绝执行，靠改判断分支绕过这条路也堵上了；
- 授权与密钥绑定：开了网站注册授权，删掉那句检查等于让产物自己解不出来，而不是放行；
- 控制流平坦化：语句顺序打散成状态机，文件里已经没有原来的 IF / FOR 结构；
- 字符串表化 + 25 种混淆符组合：能读的字符串和变量名都进了索引表。
强度分档，别用错：编码型只挡「顺手一看」，扛得住认真逆向的是重构型 / 底层型与虚拟机型。这两档在试用版里就能跑，拿你自己最真实的代码试一次，看效果再决定买不买——代价只是产物带试用版水印。
如果对方连源码都不需要、只想免费用你的程序，还有更直接的一层：网站注册授权。授权域名与到期时间写死在授权码里，站点上无法自行伪造或续期；换域名或到期，受保护的代码当场停下。就算真有人把源码还原出来，没有你的授权，也上不了别人的域名。