保护强度与效果
这个分类下的问答都在下面，点问题展开答案。
保护强度与效果
-
虚拟机型跟其它几档有什么不一样？
前面四档藏来藏去还是同一段 PHP 源码，只是写法被改掉了，逆回去的目标就是"把源码还原出来"。虚拟机型换的是执行方式：函数体先被编译成一套自定义字节码，再由一份随产物一起下发的纯 PHP 虚拟机解释执行，原始逻辑在文件里根本不以 PHP 语句的形式存在。有人想读懂它，得先逆出指令集、再反编译回来——门槛比"读懂混淆后的 PHP"高一个量级。而且指令编号是每份产物一套：加密时当场重排，解释器跟着产物走，逆明白一份产物，也不等于拿到了其它产物的钥匙。
代价也很实在：解释执行比原生慢一些，产物体积也更大。所以我们把它做成"最核心的那部分代码"用的一档——比如授权校验、计价、算法这些被抄走就伤筋动骨的地方，整站其余文件用混淆型或重构型，混着来最划算。
-
加密后还能被还原吗？
先说结论：加密后的文件不会以可读源码的形式交到客户手里。想把它变回能读的代码，得有人为这个文件做一整套逆向工程，代价通常比他重写一遍、或者直接买你的授权更高——不划算，也就没人做了。
有些工具写「100% 不可还原」。PHP 是解释型语言，代码最终要在客户自己的服务器上跑起来，这一步就决定了任何纯 PHP 方案都做不到「零可能」。我们不拿这种话换一次成交，力气花在把代价抬上去：
- 站点密钥分离：密钥单独放在一个随机命名的文件里，只拿走一个加密文件跑不起来；
- 载荷完整性自校验：改一个字节就拒绝执行，靠改判断分支绕过这条路也堵上了；
- 授权与密钥绑定：开了网站注册授权，删掉那句检查等于让产物自己解不出来，而不是放行；
- 控制流平坦化：语句顺序打散成状态机，文件里已经没有原来的 IF / FOR 结构；
- 字符串表化 + 25 种混淆符组合：能读的字符串和变量名都进了索引表。
强度分档，别用错：编码型只挡「顺手一看」，扛得住认真逆向的是重构型 / 底层型与虚拟机型。这两档在试用版里就能跑，拿你自己最真实的代码试一次，看效果再决定买不买——代价只是产物带试用版水印。
如果对方连源码都不需要、只想免费用你的程序，还有更直接的一层：网站注册授权。授权域名与到期时间写死在授权码里，站点上无法自行伪造或续期；换域名或到期，受保护的代码当场停下。就算真有人把源码还原出来，没有你的授权，也上不了别人的域名。
-
加密后网站会不会跑不起来？
不会。我们的验收方式是：用真实 PHP 运行加密产物，与原始文件逐字节比对输出。目前的回归覆盖整站五种方案、十几类边界语法、25 种混淆符组合、GBK 编码文件等，全部通过。
-
会不会影响网站性能？
加密文件在首次运行时解密，之后由 PHP 自身的 opcode 缓存接管，日常访问基本无感知。站点防护与静态加速部分反而会提升访问速度。