功能一览 — CtouyPHP · PHP 代码加密工具

四大任务

检测 / 美化 / 混淆 / 加密

每个任务都可以单独跑，也可以连起来一条流水线做完。

加密前先体检

代码检测

空文件、二进制文件、已加密文件、可变参数、引用函数结构、自身特征校验、括号不匹配、超大文件逐项排查，并调用 php -l 做真实语法检查。本机没装 PHP 就自动跳过，并在报告里写明"已跳过语法检查"，不会让你误以为语法已经查过了。

只改空白，不改逻辑

代码美化

按语法层级重新排版、一条语句一行。团队交付前统一代码风格，也让后续的混淆与加密有稳定的输入。

可读不可抄

代码混淆

变量改名、字符串表化、数字变形、内置函数 / 常量 / 类间接化、杂码注入、顶层函数乱序。代码结构还在，但已经读不出原来的意思。

四种方案，强度自选

代码加密

编码型 / 混淆型 / 重构型 / 底层型四档强度，从"防随手查看"一路调到"防认真逆向"，按项目价值挑就行。

四种加密方案

强度从"防随手查看"到"防认真逆向"

方案之间可以随时切换，同一份源码先跑低强度看效果，满意了再上高强度。

编码型

强度轻

做法: 字符码 / 二进制（压缩 + 密钥异或）/ 异或密钥 / 自定式编程
适合: 快速处理，防止随手查看

处理最快，体积增加最少。适合内部交付、课程作业这类"不让人顺手看一眼"的场景，也是四种方案里唯一能整站秒级跑完的一档。

混淆型

强度中

做法: 代码结构保留、可读性彻底破坏
适合: 开源协议下"可读不可抄"

不改控制结构，所以对运行时环境最友好；变量名、字符串、数字、内置调用全部变形，配合站点密钥分离后，单独拿走一个文件也跑不起来。

重构型

强度高

做法: 控制结构等价改写 + 控制流平坦化
适合: 需要较高保护强度

把 IF / FOR / WHILE / SWITCH 这类控制结构改写成等价形式，语句顺序打散成状态机。语义由回归测试逐字节比对保证，跑起来和原版一致。

底层型

强度最高

做法: 混淆 + 压缩打包 + F-代码 / S-代码 / 加壳
适合: 追求最高强度

在混淆的基础上再压缩打包，并按 F-代码 / S-代码 / 加壳三种形态落地。还原成本最高的一档，适合算法、商业插件这类核心资产。

任一方案都带这些能力

站点密钥分离

密钥单独存放在一个随机命名的包含文件里，单独拿走一个加密文件无法运行。

载荷完整性自校验

文件被改动过就直接停止执行，不会跑出半截逻辑。

25 种混淆符组合

变量名可用随机字母、希腊字母、序号、火星文等，GBK 文件自动回退，不会写坏。

字符串表化

字符串集中到十六进制表里按索引取值，不再就地可读。

框架场景一键预设

框架的缓存和模板目录，加密了反而跑不起来

预设替你把这些目录排掉，你只要选场景、点应用。

轻量 / 标准 / 强化

不知道该怎么勾就选这三档强度之一，一键套用。

WordPress 主题插件

保留插件头、避开启用时的授权拦截，后台照常认得出插件。

ThinkPHP

自动排除 runtime / vendor / public 静态与上传目录。

Laravel

自动排除 storage / bootstrap/cache / vendor 与 Blade 模板。

Discuz

自动排除 template / data / config / uc_server / uc_client。

普通网站整站 / 商业源码

整站换壳与商业交付两种典型配置。

排除规则是追加，不是覆盖。 你自己维护的排除清单一条都不会丢，同一个预设套两遍也不会越套越长；套完「文件排除」页当场刷新，加了什么一目了然。

站点防护

加密的同时顺手把网站加固了

全部由工具自动写入，不需要改业务代码。

防 SQL 注入

拦截 GET / POST / COOKIE 中的自定义非法字符，递归检查，不需要改业务代码。

访问控制

按日期、域名（支持泛域名）、服务端 IP、客户端 IP（支持 192.168.1.*）、最大在线人数限制访问。

网站注册授权

授权码由独立签发工具用 Ed25519 私钥按"授权域名 + 授权期限"签名，客户站点只嵌公钥，自己也算不出新码。客户在授权页面粘贴授权码后自动生成授权记录文件，换域名或到期即拦截。

HTML 静态加速

页面静态化缓存，命中直接输出，减轻服务器负载；可按缓存时间、页面特性、Session / Cookies / APC 等条件自动决策。

版权备注

把版权信息以明文备注写入文件，支持软件名、技术支持、时间、文件名等变量。

工程能力

整站跑得动，细节也管得住

能力	说明
整站或单文件	整站一键处理，也可只处理某几个文件。
编码识别	自动识别 / UTF-8 / GBK / BIG5，自动清除 UTF-8 BOM，杜绝加密后网页乱码。
排除规则	按目录、按文件名通配符排除，被排除的文件可直接复制到目标目录。
任务加速引擎	多文件并行处理，整站任务明显更快。
任务配置	所有设置可保存为配置文件，换台机器把 json 带过去就能接着干。
安全强度评估	界面实时显示当前方案的综合强度评分。

运行环境

本机不用装 PHP，服务器不用装扩展

操作系统	64 位 Windows 7 / 10 / 11
运行环境	无需安装 Python 或任何组件，解压即用
加密产物	纯 PHP 代码，服务器端不需要安装任何扩展
PHP 兼容性	PHP 5.6 至 8.4 共十一个版本实测通过
网站注册授权	站点端需 PHP 7.2+（sodium 扩展，官方包已自带）
是否需要联网	不需要，内网与离线服务器同样可用

PHP 兼容性矩阵（本机实测）

PHP 版本	六种加密方案	网站注册授权
5.6.40	全部通过	提示"需要 sodium"（符合预期）
7.0.33	全部通过	提示"需要 sodium"（符合预期）
7.1.33	全部通过	提示"需要 sodium"（符合预期）
7.2.34	全部通过	完整流程通过
7.3.33	全部通过	完整流程通过
7.4.33	全部通过	完整流程通过
8.0.30	全部通过	完整流程通过
8.1.34	全部通过	完整流程通过
8.2.32	全部通过	完整流程通过
8.3.35	全部通过	完整流程通过
8.4.26	全部通过	完整流程通过

每个版本都跑 php -l 并逐字节比对运行结果。「网站注册授权」要 PHP 7.2+（sodium 扩展，官方包已自带）。

一个工具，把交付前后的风险都收进流程里