## **openssl**
* **介绍**： OpenSSL 是一个安全套接字层密码库，囊括主要的密码算法、常用的密钥和证书封装管理功能及SSL协议，并提供丰富的应用程序供测试或其它目的使用
* **特性**：开源
* **用途**：数据传输 https 以及支付流程数据加密解密验签
## **证书与密钥**
1.鲍勃有两把钥匙，一把是公钥，另一把是私钥。
2.鲍勃把公钥送给他的朋友们—-帕蒂、道格、苏珊—-每人一把。
3.苏珊给鲍勃写信，写完后用鲍勃的公钥加密，达到保密的效果。
4.鲍勃收信后，用私钥解密，看到信件内容。
5.鲍勃给苏珊回信，写完后用Hash函数，生成信件的摘要（digest）。
6.然后，鲍勃使用私钥，对这个摘要加密，生成”数字签名”（signature）。
7.鲍勃将这个签名，附在信件下面，一起发给苏珊。
8.苏珊收信后，取下数字签名，用鲍勃的公钥解密，得到信件的摘要。由此证明，这封信确实是鲍勃发出的。
9.苏珊再对信件本身使用Hash函数，将得到的结果，与上一步得到的摘要进行对比。如果两者一致，就证明这封信未被修改过。
10.复杂的情况出现了。道格想欺骗苏珊，他偷偷使用了苏珊的电脑，用自己的公钥换走了鲍勃的公钥。因此，他就可以冒充鲍勃，写信给苏珊。
11.苏珊发现，自己无法确定公钥是否真的属于鲍勃。她想到了一个办法，要求鲍勃去找”证书中心”（certificate authority，简称CA），为公钥做认证。证书中心用自己的私钥，对鲍勃的公钥和一些相关信息一起加密，生成”数字证书”（Digital Certificate）。
12.鲍勃拿到数字证书以后，就可以放心了。以后再给苏珊写信，只要在签名的同时，再附上数字证书就行了。
13.苏珊收信后，用CA的公钥解开数字证书，就可以拿到鲍勃真实的公钥了，然后就能证明”数字签名”是否真的是鲍勃签的。
14.下面，我们看一个应用”数字证书”的实例：https协议。这个协议主要用于网页加密。
15.首先，客户端向服务器发出加密请求。
16.服务器用自己的私钥加密网页以后，连同本身的数字证书，一起发送给客户端。
17.客户端（浏览器）的”证书管理器”，有”受信任的根证书颁发机构”列表。客户端会根据这张列表，查看解开数字证书的公钥是否在列表之内。
18.如果数字证书记载的网址，与你正在浏览的网址不一致，就说明这张证书可能被冒用，浏览器会发出警告。
19.如果这张数字证书不是由受信任的机构颁发的，浏览器会发出另一种警告。
20.如果数字证书是可靠的，客户端就可以使用证书中的服务器公钥，对信息进行加密，然后与服务器交换加密信息。
## **加密(密码学)**
* 对称加密
1. 对称加密指的就是加密和解密使用同一个秘钥
2. 类型：AES、DES、Blowfish、CAST、IDEA、RC2、RC5
* 非对称加密
1. 加密和解密使用不同的秘钥，一把作为公开的公钥，另一把作为私钥
2. 类型：DH算法、RSA算法、DSA算法和椭圆曲线算法（EC）
* 5种信息摘要算法
MD2、MD5、MDC2、SHA（SHA1）和RIPEMD。SHA算法事实上包括了SHA和SHA1两种信息摘要算法。
## **PHP与openssl**
本扩展使用 » OpenSSL 库来对称/非对称加解密，以及 PBKDF2、 PKCS7、 PKCS12、 X509 和其他加密操作。除此之外还提供了 TLS 流的实现。
## **openssl生成公钥私钥**
```
$configargs = array(
"private_key_bits" => 4096, //指定应该使用多少位来生成私钥
"private_key_type" => OPENSSL_KEYTYPE_RSA,
);
// Create the keypair
$res=openssl_pkey_new($configargs);
openssl_pkey_export($res, $privatekey);
```
* 参数 private_key_bits 指定应该使用多少位来生成私钥
* 参数 private_key_type: 默认值是 OPENSSL_KEYTYPE_RSA
1. OPENSSL_KEYTYPE_DSA
2. OPENSSL_KEYTYPE_DH
3. OPENSSL_KEYTYPE_RSA or OPENSSL_KEYTYPE_EC.
其他函数介绍：
1. 将密钥导出到文件中
`array openssl_pkey_get_details ( resource $key )
`
2. 将密钥导出到文件中
`bool openssl_pkey_export_to_file ( mixed $key , string $outfilename [, string $passphrase [, array $configargs ]] )
`
## **openssl生成公钥**
公钥是在私钥的基础上生成的
```
//生成公钥
$Pubkey = openssl_pkey_get_details($res)['key'];
file_put_contents('pub.key',$Pubkey);
```
## **openssl对数据加解密**
**实现过程:公钥加密=>私钥解密**
* resource openssl_pkey_get_public ( mixed $certificate) 从证书中解析公钥，以供使用。
* bool openssl_public_encrypt ( string $data , string &$crypted , mixed $key [, int $padding = OPENSSL_PKCS1_PADDING ] )
使用公钥加密数据
* resource openssl_pkey_get_private ( mixed $certificate) 从证书中解析私钥，以供使用。
* bool openssl_private_decrypt ( string $data , string &$decrypted , mixed $key [, int $padding = OPENSSL_PKCS1_PADDING ] )
**实例**
```
//加密
function encdata($data){
$pubKey = openssl_pkey_get_public(file_get_contents('pub.key'));
//用公钥加密
openssl_public_encrypt($data,$encdata,$pubKey);
//base64转化
$encdata = base64_encode($encdata);
return $encdata;
}
//解密
function decdata($data){
$prikey = openssl_pkey_get_private(file_get_contents('prikey.key'));
$data = base64_decode($data);
openssl_private_decrypt($data,$decdata,$prikey);
return $decdata;
openssl_private_decrypt();
}
$encdata = encdata('vanvan');
$data = decdata($encdata);
var_dump($data);
```
## **签名以及验签**
私钥签名 公钥验签
* 生成签名
bool openssl_sign ( string $data , string &$signature , mixed $priv_key_id [, mixed $signature_alg = OPENSSL_ALGO_SHA1 ] )
* 验证签名
int openssl_verify ( string $data , string $signature , mixed $pub_key_id [, mixed $signature_alg = OPENSSL_ALGO_SHA1 ] )
* 举例
```
//签名
function sign($data){
$prikey = openssl_pkey_get_private(file_get_contents('prikey.key'));
openssl_sign($data,$sign,$prikey);
return base64_encode($sign);
}
//验签
function checksign($data,$sign){
$pubKey = openssl_pkey_get_public(file_get_contents('pub.key'));
$sign = base64_decode($sign);
$res = openssl_verify($data,$sign,$pubKey);
return $res;
}
$data ='hahahahaha';
$sign = sign($data);
echo checksign($data,$sign); //1成功 0失败
```
## **openssl生成证书**
**【证书 就是在私钥的基础上添加信息】**
mixed openssl_csr_new ( array $dn , resource &$privkey [, array $configargs [, array $extraattribs ]] )
生成一个 CSR
resource openssl_csr_sign ( mixed $csr , mixed $cacert , mixed $priv_key , int $days [, array $configargs [, int $serial = 0 ]] )
给定的 CSR 生成一个x509证书资源
bool openssl_x509_export_to_file ( mixed $x509 , string $outfilename [, bool $notext = TRUE ] )
导出证书
bool openssl_pkcs12_export_to_file ( mixed $x509 , string $filename , mixed $priv_key , string $pass [, array $args ] )
输出一个 PKCS#12 兼容的证书存储文件
**例子**
```
$dn = array(
"countryName" => "GB",
"stateOrProvinceName" => "Somerset",
"localityName" => "Glastonbury",
"organizationName" => "The Brain Room Limited",
"organizationalUnitName" => "PHP Documentation Team",
"commonName" => "Wez Furlong",
"emailAddress" => "wez@example.com"
);
//创建一个私钥的资源
$res = openssl_pkey_new();
$csr = openssl_csr_new($dn,$res);
$cacert = openssl_csr_sign($csr,null,$res,30); //生成资源
openssl_x509_export_to_file($cacert,'pub.pem'); //生成证书的第一种格式
openssl_pkcs12_export_to_file($cacert,'cacet.cert',$res,'1112233'); //生成证书的第二种格式
openssl_pkcs12_export_to_file($cacert,'cacet.pfx',$res,'1112233'); //生成证书的第三种格式
```
