php源码被人扒走，淆加明文躺在服务器上任人宰割，密解密免这种事我见了太多。淆加去年有个做电商系统的密解密免朋友，辛辛苦苦写了半年的淆加支付模块，结果被客户拿去二次转卖，密解密免连注释都没删——上面还写着他前公司的淆加工号呢。所以php混淆加密这事儿，密解密免不是淆加要不要做的问题，是密解密免你一旦开始靠php吃饭，迟早得面对。淆加
先说免费的密解密免方案，市面上能打的淆加就那几样。最老牌的密解密免当属Zend Guard，但它收费且对高版本php支持越来越差，淆加现在还在用它的人多半是守着老项目。真正让我觉得“够用”的，是那些开源项目——比如php-obfuscator，一个纯php写的混淆工具，扔到命令行就能跑。它干的事儿说白了就是把你变量名全改成乱码，函数名也换成无意义的字符组合，再把空格换行全压缩掉。代码还能跑，但人眼基本读不出逻辑。
但这里有个坑，很多人混淆完就以为万事大吉。我见过一个案例，某站长把源码混淆后用file_get_contents去读自己混淆过的文件，结果处理逻辑全乱了，因为混淆器把字符串里的变量名也替换了。这类工具大多不做语法层面的深度分析，它只做“机械替换”，所以如果你代码里用了动态变量名、可变函数，或者字符串拼接了变量名，混淆出来的东西直接跑不起来。这不是工具不行，是你代码风格太“野”了。
另一个免费路子是ionCube的免费版，但免费版有域名限制，而且每次加载会弹个提示，虽然不影响功能，但总让人心里膈应。如果你只是临时保护一下，或者项目本身不打算商业化，那用它没啥问题。可要是拿去做商业授权分发，我劝你还是省省，破解这层壳的教程网上一搜一大把，加密强度低得可怜。
说回php-obfuscator这类工具的实际体验。它能做的除了改变量名，还有把代码里的字符串用base64编码后拼接，再在运行时eval解码执行。这招对付小白足够，但稍微懂点逆向的人，断点打在eval上，直接看参数就能还原。我自己试过把混淆后的代码丢给ChatGPT去还原，它居然能猜出大概逻辑——因为变量名虽然乱了，但函数调用顺序和常量值还留着。
所以我的态度是：免费混淆工具能防君子，防不了小人。但话说回来，你一个普通php项目，真有人愿意花三天时间逆向你吗？除非你代码里有支付接口密钥，或者某种独家算法，否则没人闲得慌。我自己的做法是，把核心逻辑拆出来做成扩展，用C写，再通过php调用，混淆只用来保护那些非核心的调度代码。这样成本最低，效果反而最好。
最后说个实操细节。不管用哪个工具，混淆前一定先备份原始代码，并且对混淆后的文件做全量测试。有些混淆器会把注释里的中文编码搞坏，导致页面乱码；还有些会误伤正则表达式里的反斜杠。我上次混淆一个项目，结果把所有preg_match里的“\d”全变成了“\x64”，正则直接失效，排查了整整半天。别嫌麻烦，混淆不是终点，能跑才是硬道理。