PHP 怎么许可管理

wen PHP项目 2026-08-02 1

本文目录导读：

PHP 怎么许可管理

场景 1：最简单的“本地加密验证”（防君子不防小人）
场景 2：在线验证（License Server）
场景 3：代码混淆 + 授权 (高级安全)
最佳实践建议（组合拳）
示例：使用 OpenSSL 签名（最推荐的做法）

在 PHP 中实现“许可管理”（License Management），通常指的是软件授权（如：防止盗版、控制使用期限/功能）或应用权限（如：RBAC 用户权限）。

我假设你问的是软件授权/序列号管理（即如何保护你的 PHP 商业代码，控制用户是否合法购买）。

下面我会从简易方案到进阶安全方案，分场景给你提供 PHP 许可管理的实现思路和代码。

场景 1：最简单的“本地加密验证”（防君子不防小人）

适用于：小型项目、价格低廉的 SaaS 或内部分发,防止用户随意复制代码。

原理：将许可证文件（包含机器码、到期时间）用密钥加密,程序启动时解密验证。

生成许可证（在授权服务器上，管理员用）

<?php
// 生成许可证工具（你自己运行，不发给用户）
$secretKey = 'your-32-character-secret-key-123456'; // 这个 Key 要硬编码在你的 PHP 源码里
function generateLicense($data) {
    global $secretKey;
    // 数据内容：用户ID + 到期日期 + 机器码
    $payload = json_encode($data);
    // 加密（简单的异或混淆 + Base64）
    $encrypted = base64_encode(openssl_encrypt($payload, 'AES-128-ECB', $secretKey));
    return $encrypted;
}
// 举例：为某个用户生成
$license = generateLicense([
    'username' => 'customer_001',
    'expires'  => '2025-12-31',
    'domain'   => 'example.com',  // 限制域名
]);
echo $license; // 将这个字符串发给用户

在用户端验证许可证

<?php
// 在你的主程序入口（index.php 或 bootstrap.php）
class LicenseChecker {
    private $secretKey = 'your-32-character-secret-key-123456'; // 同样写死在源码里（不安全，但简单）
    public function verify($licenseCode) {
        try {
            // 解密
            $decrypted = openssl_decrypt(base64_decode($licenseCode), 'AES-128-ECB', $this->secretKey);
            $data = json_decode($decrypted, true);
            // 1. 检查时间
            if (date('Y-m-d') > $data['expires']) {
                throw new Exception('License expired');
            }
            // 2. 检查域名
            if ($_SERVER['HTTP_HOST'] !== $data['domain']) {
                throw new Exception('Domain mismatch');
            }
            // 可以继续检查 IP、版本等
            return true;
        } catch (\Exception $e) {
            die('Invalid License: ' . $e->getMessage()); // 或跳转购买页
        }
    }
}
// 使用：你在代码里调用
$checker = new LicenseChecker();
$checker->verify($_ENV['LICENSE_KEY']); // 或从配置文件读取

场景 2：在线验证（License Server）

适用于：中大型商业软件，需要实时控制撤销、更新、按需授权。

原理：用户端向你的服务器发送请求，服务器验证后返回授权状态。
优点：可以随时吊销、修改授权。
缺点：用户断网/离线时可能无法使用（或需要支持离线缓存）。

用户端代码（每次启动或定时验证）

<?php
class LicenseManager {
    private $apiUrl = 'https://yourdomain.com/license/api/verify'; // 你的授权服务器
    private $productCode = 'PROD-001';
    public function verifyLocal($licenseKey) {
        // 1. 先查本地缓存（防止频繁请求）
        $cached = apcu_fetch('license_' . $licenseKey);
        if ($cached && $cached['expires_at'] > time()) {
            return $cached['valid'];
        }
        // 2. 在线请求
        $response = $this->callServer($licenseKey);
        if ($response['valid']) {
            // 缓存结果到本地，设置缓存过期时间（24小时）
            apcu_store('license_' . $licenseKey, [
                'valid' => true,
                'expires_at' => time() + 86400,
            ]);
            return true;
        }
        return false;
    }
    private function callServer($licenseKey) {
        // 发送 POST 请求到你的授权服务器
        $postData = json_encode([
            'license_key' => $licenseKey,
            'product'     => $this->productCode,
            'host'        => gethostname(),  // 服务器机器名
            'ip'          => $_SERVER['SERVER_ADDR'] ?? '',
        ]);
        $ch = curl_init($this->apiUrl);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
        curl_setopt($ch, CURLOPT_POSTFIELDS, $postData);
        curl_setopt($ch, CURLOPT_HTTPHEADER, ['Content-Type: application/json']);
        $result = curl_exec($ch);
        curl_close($ch);
        return json_decode($result, true); // 返回 ['valid'=>bool, 'message'=>'']
    }
}

授权服务器端（提供 API 给你调用）

<?php
// 假设这是入口 api.php
$input = json_decode(file_get_contents('php://input'), true);
// 查数据库验证 license_key 是否有效、是否过期、是否绑定该机器
$license = findLicenseInDB($input['license_key']);
if ($license && $license['expires_at'] > date('Y-m-d') && $license['product'] === $input['product']) {
    // 更新最后活动时间
    updateLastSeen($license['id']);
    echo json_encode(['valid' => true]);
} else {
    echo json_encode(['valid' => false, 'message' => 'Invalid or expired']);
}

场景 3：代码混淆 + 授权 (高级安全)

重要：仅靠许可证验证，无法防止黑客修改你的代码来绕过验证。
根本解决方案：将核心功能放在你的服务器上（SaaS），或者使用 Zend Guard / IonCube 对 PHP 源码加密。

IonCube：将 PHP 文件编译成字节码，必须安装 ionCube Loader 才能运行。
Zend Guard：类似,但现已停更。

如果不想用扩展，可以使用 eval 加密（不推荐，性能差且易被绕过）。

最佳实践建议（组合拳）

分层验证：
- 公钥/私钥签名（使用 PHP openssl_sign / openssl_verify），防止许可证内容被篡改。
- 结合本地时间戳 + 在线时间戳比对（防止用户修改系统时间）。
混淆关键逻辑：
将 license 校验逻辑嵌入到框架的 kernel 或 bootstrap 中，并且使用 OPCache 扩展,增加破解难度。
定期检查：
在程序运行过程中，随机抽取某些接口，额外携带 license 信息到你的服务器做二次校验。
法律层面：
在源码中声明版权，许可证只用来限制正常用户,防不了专业盗版。

示例：使用 OpenSSL 签名（最推荐的做法）

生成密钥对，将签名附加在 License 中,防止用户随意伪造。

// 你的服务器端生成 License（私钥签名）
$privateKey = openssl_pkey_get_private(file_get_contents('private.pem'));
$data = json_encode(['user'=>'abc', 'expires'=>'2025-12-31']);
openssl_sign($data, $signature, $privateKey, OPENSSL_ALGO_SHA256);
// 最终发给用户：
$licensePayload = base64_encode($data) . '.' . base64_encode($signature);
// 用户端验证（公钥验签）
$publicKey = openssl_pkey_get_public(file_get_contents('public.pem'));
list($encodedData, $encodedSig) = explode('.', $licensePayload);
$valid = openssl_verify(base64_decode($encodedData), base64_decode($encodedSig), $publicKey, OPENSSL_ALGO_SHA256);

如果你只是防止误用：用 AES 加密 + 写死 Key 的简单方式。
如果你需要商业级：用 OpenSSL 签名 + 在线验证。
如果你卖的是源码：建议转 SaaS（代码放自己服务器）,别提防破解的事。

如果你问的是 “用户权限管理”（RBAC），请告诉我,我可以给你提供数据库表设计和中间件代码。