特色
四大任务、五档保护强度、框架预设，以及站点防护与兼容性矩阵 —— CtouyPHP 的核心能力与适用范围。
检测 / 美化 / 混淆 / 加密
每个任务都可以单独跑，也可以连起来一条流水线做完。
代码检测
空文件、二进制文件、已加密文件、可变参数、引用函数结构、自身特征校验、括号不匹配、超大文件逐项排查，并调用 php -l 做真实语法检查。本机没装 PHP 就自动跳过，并在报告里写明"已跳过语法检查"，不会让你误以为语法已经查过了。
代码美化
按语法层级重新排版、一条语句一行。团队交付前统一代码风格，也让后续的混淆与加密有稳定的输入。
代码混淆
变量改名、字符串表化、数字变形、内置函数 / 常量 / 类间接化、杂码注入、顶层函数乱序。代码结构还在，但已经读不出原来的意思。
代码加密
编码型 / 混淆型 / 重构型 / 底层型 / 虚拟机型五档强度，从"防随手查看"一路调到"防认真逆向"，按项目价值挑就行。
强度从「防随手查看」到「防认真逆向」
方案之间可以随时切换，同一份源码先跑低强度看效果，满意了再上高强度。
编码型
强度 轻字符码 / 二进制（压缩 + 密钥异或）/ 异或密钥 / 自定式编程
快速处理，防止随手查看
处理最快，体积增加最少。适合内部交付、课程作业这类"不让人顺手看一眼"的场景，也是五种方案里唯一能整站秒级跑完的一档。
混淆型
强度 中代码结构保留、可读性彻底破坏
开源协议下"可读不可抄"
不改控制结构，所以对运行时环境最友好；变量名、字符串、数字、内置调用全部变形，配合站点密钥分离后，单独拿走一个文件也跑不起来。
重构型
强度 高控制结构等价改写 + 控制流平坦化
需要较高保护强度
把 IF / FOR / WHILE / SWITCH 这类控制结构改写成等价形式，语句顺序打散成状态机。语义由回归测试逐字节比对保证，跑起来和原版一致。
底层型
强度 最高混淆 + 压缩打包 + F-代码 / S-代码 / 加壳
追求最高强度
在混淆的基础上再压缩打包，并按 F-代码 / S-代码 / 加壳三种形态落地。还原成本最高的一档，适合算法、商业插件这类核心资产。
虚拟机型
强度 最高函数体编译成自定义字节码 + 纯 PHP 虚拟机解释执行
算法、商业插件这类最核心的资产
前面几档藏来藏去还是同一段 PHP 源码，只是写法变了；这一档换的是"执行方式"——函数体被编译成自定义字节码，由一份随产物下发的纯 PHP 虚拟机解释执行。想读懂产物，得先逆出一整套指令集再反编译回来；而且指令编号在加密时当场重排，每份产物各有一套，逆明白一份也不等于拿到别的产物的钥匙。
任一方案都带这些能力
站点密钥分离
密钥单独存放在一个随机命名的包含文件里，单独拿走一个加密文件无法运行。
载荷完整性自校验
文件被改动过就直接停止执行，不会跑出半截逻辑。
25 种混淆符组合
变量名可用随机字母、希腊字母、序号、火星文等，GBK 文件自动回退，不会写坏。
字符串表化
字符串集中到十六进制表里按索引取值，不再就地可读。
强度档位与框架场景，选一条点「应用」
预设是「方案 + 子选项」的快捷方式；框架场景还会顺手排掉缓存与模板目录。
轻量 / 标准 / 强化
不知道该怎么勾就选这三档强度之一，一键套用。
最高强度（虚拟机）
虚拟机型 + 站点密钥：函数体编译成字节码，装载层压缩 + 分片 + 加壳。
WordPress 主题插件
保留插件头、避开启用时的授权拦截，后台照常认得出插件。
ThinkPHP
自动排除 runtime / vendor / public 静态与上传目录。
Laravel
自动排除 storage / bootstrap/cache / vendor 与 Blade 模板。
Discuz
自动排除 template / data / config / uc_server / uc_client。
普通网站整站 / 商业源码
整站换壳与商业交付两种典型配置。
加密的同时顺手把网站加固了
全部由工具自动写入，不需要改业务代码。
防 SQL 注入
拦截 GET / POST / COOKIE 中的自定义非法字符，递归检查，不需要改业务代码。
访问控制
按日期、域名（支持泛域名）、服务端 IP、客户端 IP（支持 192.168.1.*）、最大在线人数限制访问。
网站注册授权
授权域名与到期时间写死在授权码里，站点上无法自行伪造或续期，换域名或到期即拦截。在授权页面粘贴授权码即生效，自动生成授权记录文件，全程不需要回连服务器。
HTML 静态加速
页面静态化缓存，命中直接输出，减轻服务器负载；可按缓存时间、页面特性、Session / Cookies / APC 等条件自动决策。
版权备注
把版权信息以明文备注写入文件，支持软件名、技术支持、时间、文件名等变量。
整站跑得动，细节也管得住
| 能力 | 说明 |
|---|---|
| 整站或单文件 | 整站一键处理，也可只处理某几个文件。 |
| 编码识别 | 自动识别 / UTF-8 / GBK / BIG5，自动清除 UTF-8 BOM，杜绝加密后网页乱码。 |
| 排除规则 | 按目录、按文件名通配符排除，被排除的文件可直接复制到目标目录。 |
| 任务加速引擎 | 多文件并行处理，整站任务明显更快。 |
| 任务配置 | 所有设置可保存为配置文件，换台机器把 json 带过去就能接着干。 |
| 安全强度评估 | 界面实时显示当前方案的综合强度评分。 |
本机不用装 PHP，服务器不用装扩展
| 操作系统 | 64 位 Windows 7 / 10 / 11 |
| 运行环境 | 无需安装任何组件与运行库，解压即用 |
| 加密产物 | 纯 PHP 代码，服务器端不需要安装任何扩展 |
| PHP 兼容性 | PHP 5.6 至 8.4 共十一个版本实测通过 |
| 网站注册授权 | 站点端需 PHP 7.2+（sodium 扩展，官方包已自带） |
| 是否需要联网 | 加密前需联网校验授权；产物部署后不需联网，内网与离线服务器同样可用 |
同类方案放在一起看
按方案类型横向对比，方便你判断哪一种更贴合自己的交付场景。
| 对比项 | CtouyPHP | 依赖服务器扩展的编译型方案 | 只做代码混淆的工具 |
|---|---|---|---|
| PHP 版本支持 | 5.6 至 8.4 十一个版本实测通过 | 随扩展走，老版本常常不再提供 | 跟随语言语法版本 |
| 服务器端依赖 | 零扩展，产物是纯 PHP | 需在服务器安装并启用扩展 | 零扩展 |
| 产物可否离线运行 | 可以，纯 PHP 产物在内网与离线服务器照样跑 | 可以 | 可以 |
| 网站注册授权 | 内置，授权域名与期限写进授权码 | 多为独立模块或另行收费 | 通常没有 |
| WordPress 兼容开关 | 内置，保留插件头并避开启用拦截 | 需要自行处理 | 需要自行处理 |
| 中文界面与文档 | 全中文界面与文档 | 以英文资料为主 | 视产品而定 |
| 授权方式 | 试用版免费先跑，正式版按天 / 按周 / 永久可选 | 视产品而定 | 视产品而定 |
表中后两列为同类方案的常见形态，仅作选型参考；各产品能力请以其官方说明为准。