Шифрование исходного кода PHP - эффективность и недостатки

Схемы шифрования (или кодировщика) пытаются скрыть ваш код как зашифрованный файл. Очевидно, что код должен быть расшифрован во время выполнения, что добавляет ненужные накладные расходы. Некоторые из них также настаивают на том, чтобы хост-система установила специальные процедуры, которые хостеры очень не любят, потому что они не хотят настраивать специальные конфигурации только для вас. Но плохо то, что они содержат семена собственного уничтожения: для запуска на целевом хосте они должны содержать программное обеспечение для дешифрования. Таким образом, если вы его используете, вы доставляете тот самый дешифратор, который необходим для доступа к вашему коду. Вопрос только в том, чтобы найти его; после обнаружения ваш код полностью расшифровывается и раскрывается. Это просто небезопасно.

Схемы запутывания шифруют имена идентификаторов, удаляют комментарии и форматирование. Но запутанный код работает точно так же, как оригинал, без накладных расходов и специальной поддержки времени выполнения. Обфускаторы зависят от сложности понимания программ в целом. Программы достаточно сложны для понимания, когда они хорошо разработаны, имена хорошо выбраны и в коде есть хорошие комментарии. Мы все надеемся, что наши программы хорошо спроектированы, но если названия плохие, а комментариев нет, их довольно сложно понять. Изучите свой собственный опыт работы с чужим кодом.

Люди скажут: «Но любой может проверить запутанный код и понять его». Это правда, если у вас крошечное приложение. Если ваше приложение имеет какой-либо масштаб (десятки страниц кода), чрезвычайно сложно понять, что оно делает, когда все имена переменных зашифрованы. Чем крупнее ваш код, тем лучше его защищает обфускация.

Если вы хотите увидеть примеры того, что делает один PHP-обфускатор, см. Наш Thicket PHP Obfuscator .

Ни Zend Guard, ни ionCube не используют шифрование в математическом смысле для защиты вашего кода. То, что они делают, кроме обфускации, уже описанной другими ответами, - это кодирование.

Это процесс, который обычно выполняется интерпретатором PHP автоматически при каждом обращении к вашему скрипту - ваш PHP-скрипт компилируется в формат байт-кода, который затем выполняется. Кодировщики, такие как Zend Guard и ionCube, по сути, делают эквивалентный процесс, только он выполняется один раз, а затем только "скомпилированный" байт-код становится доступным / загружается на сервер.

Это означает, что фактически воссоздать тот же самый код, который вы когда-то написали, совершенно невозможно. Что не невозможно, и это также относится к обфускации, так это обратное проектирование скомпилированного или запутанного кода, чтобы выяснить, что он делает.

Подводя итог, я бы сказал, что эти продукты очень хорошо защищают ваш код, а не вашу логику.

Почему именно вам нужно зашифровать исходный код? Если вы используете это в качестве меры предосторожности от потенциальных хакеров, то поверьте, когда я говорю, что если бы они действительно хотели расшифровать ваш исходный код, они бы это сделали. Это возможно с ionCube, в прошлый раз проверял.

Что касается влияния на производительность, я считаю, что Zend немного быстрее, чем ionCube, поскольку не требует дополнительных файлов. Но, как я уже сказал ранее, ни в чем не полагайтесь на шифрование.

Если его можно выполнить, его можно декомпилировать. Для получения прав доступа, а не для шифрования, придерживайтесь своей юридической команды :) А еще лучше, откройте исходный код для своего проекта: P

РЕДАКТИРОВАТЬ: «Шифрование» также значительно увеличивает время выполнения!

Единственное, что вы можете сделать против хостинговой компании, - это иметь хорошую лицензию и юриста.

Насколько мне известно, кодировщики PHP на самом деле не кодируют ваш код PHP. Они просто меняют имена переменных и добавляют ненужный мусорный код, так что кому-либо становится ОЧЕНЬ сложно узнать, что делает код. Проблема в том, что они не могут скрыть какой-либо пароль (будь то жестко закодированный пароль администратора или данные подключения к базе данных).

Таким образом, они не гарантируют безопасность вашего кода, они просто усложняют его понимание.