核心能力
PHP AST 混淆
基于 nikic/php-parser 的真实语法树变换：安全的局部变量重命名、注释清理、字符串与格式标准化。规则可独立开关。
项目批量处理
上传 ZIP 项目，异步任务逐个文件执行 AST 处理，处理结果重新解析与语法检查。
异步保护任务
Web 层只创建任务，PHP CLI Worker 原子认领执行，支持重试、超时、取消与失败诊断，任务状态与实际结果一致。
在线授权管理
授权码生成、在线激活、实例登记、心跳检测、吊销与迁移策略，有效期与实例上限由服务端强校验。
实例管理
客户端生成实例标识，服务端登记授权关系，签发短期 Ed25519 签名凭证，不强制绑定 IP。
邮箱验证与账户安全
注册/改密/改邮箱验证码，HMAC 存储、单次使用、频率限制；Argon2id 密码存储。
审计与错误追踪
哈希链审计日志记录关键操作，任务错误码与阶段诊断，敏感信息不落日志。
多租户隔离
项目、任务、授权、文件全量所有权校验，统一数据访问层注入用户范围，禁止越权访问。
保护等级
保护等级状态与后端实际发布状态关联，未验收的能力不会被标记为正式功能。
| 等级 | 功能 | 状态 |
|---|---|---|
| P1 | 基础 AST 混淆 | released |
| P2 | 增强 AST 混淆 | beta |
| P3 | 加密载荷与运行时原型 | experimental |
| P4 | 专用运行时保护 | planned |
保护流程
- 上传 PHP 项目（ZIP）
- 安全检查（路径穿越 / 符号链接 / ZIP 炸弹防御）
- 创建保护任务
- Worker 执行 AST 处理
- 语法与兼容性检查
- 生成保护产物（ZIP）
- 下载产物
- 集成授权 SDK
安全设计
上传文件隔离
ZIP 解压严格限定在任务专属目录，规范化路径检查，拒绝符号链接与路径穿越。
用户数据隔离
每个项目、任务、授权、文件都有所有权关系，所有访问由后端校验。
密钥分离管理
会话密钥、验证码 HMAC 密钥、KEK/DEK、授权签名私钥各自独立，不通用一把全局密钥。
源码自动清理
任务成功后按保留策略清理原始源码，文件删除有可追踪记录。
访问审计
关键操作写入哈希链审计日志，操作人、时间、变更前后状态齐全。
授权吊销
吊销后在线验证立即拒绝；离线授权有明确的过期与宽限边界，不宣传为可实时吊销。
快速开始
注册账号 → 验证邮箱 → 创建项目 → 上传 ZIP → 开始保护 → 下载产物 → 集成 SDK
免费开始