Ma'lumotlarni saqlashda shifrlash

function korsat(string $nom, string $qiymat): void
{
    printf("%-20s %s%s", $nom . ':', $qiymat, PHP_EOL);
}

final class MaydonShifri
{
    private const VERSIYA = 1;

    public function __construct(private readonly string $kalit)
    {
        if (strlen($kalit) !== 32) {
            throw new InvalidArgumentException('kalit 32 bayt bolishi kerak');
        }
    }

    public function shifrla(string $matn, string $kontekst): string
    {
        $nonce = random_bytes(12);
        $teg = '';

        $shifr = openssl_encrypt($matn, 'aes-256-gcm', $this->kalit,
            OPENSSL_RAW_DATA, $nonce, $teg, $kontekst);

        // Bazaga matn sifatida saqlanadigan shakl
        return sprintf('v%d.%s.%s.%s', self::VERSIYA,
            base64_encode($nonce), base64_encode($teg),
            base64_encode($shifr));
    }

    public function och(string $saqlangan, string $kontekst): string
    {
        $qismlar = explode('.', $saqlangan, 4);

        if (count($qismlar) !== 4 || $qismlar[0] !== 'v' . self::VERSIYA) {
            throw new RuntimeException('format notogri yoki versiya nomalum');
        }

        $matn = openssl_decrypt(base64_decode($qismlar[3]), 'aes-256-gcm',
            $this->kalit, OPENSSL_RAW_DATA,
            base64_decode($qismlar[1]), base64_decode($qismlar[2]),
            $kontekst);

        if ($matn === false) {
            throw new RuntimeException('butunlik tekshiruvi otmadi');
        }

        return $matn;
    }
}

$shifr = new MaydonShifri(hex2bin(str_repeat('4d', 32)));

// Kontekst - AAD: yozuv identifikatori va ustun nomi (8-bo'lim)
$kontekst = 'mijozlar:42:karta';
$saqlangan = $shifr->shifrla('8600123456781234', $kontekst);

// Qiymat har shifrlashda boshqacha - shakli va uzunligini ko'rsatamiz
$qismlar = explode('.', $saqlangan);
korsat('shakli', 'v1.<nonce>.<teg>.<shifrmatn>');
korsat('qismlar soni', count($qismlar) . ' ta');
korsat('versiya', $qismlar[0]);
korsat('uzunligi', strlen($saqlangan) . ' belgi');
korsat('ochilgan', $shifr->och($saqlangan, $kontekst));

// Boshqa yozuvga ko'chirishga urinish
try {
    $shifr->och($saqlangan, 'mijozlar:99:karta');
} catch (RuntimeException $x) {
    korsat('boshqa yozuvda', 'RAD: ' . $x->getMessage());
}

$shifr = new MaydonShifri(hex2bin(str_repeat('4d', 32)));

// Bir xil qiymat, ikki marta shifrlangan
$a = $shifr->shifrla('[email protected]', 'mijozlar:1:email');
$b = $shifr->shifrla('[email protected]', 'mijozlar:2:email');

korsat('1-yozuv uzunligi', strlen($a) . ' belgi');
korsat('2-yozuv uzunligi', strlen($b) . ' belgi');
korsat('bir xilmi', $a === $b ? 'ha' : 'YOQ');

echo PHP_EOL, "SELECT ... WHERE email = ? ishlamaydi:", PHP_EOL;
echo '  har shifrlashda nonce boshqa - qiymat ham boshqa', PHP_EOL;

final class KorIndeks
{
    public function __construct(private readonly string $indeksKaliti) {}

    /**
     * Qidiruv uchun qiymatning HMAC i.
     * Shifrlash kalitidan ALOHIDA kalit ishlatiladi.
     */
    public function indeks(string $qiymat, string $ustun): string
    {
        // Normallashtirish - qidiruv izchil bo'lishi uchun
        $tayyor = mb_strtolower(trim($qiymat), 'UTF-8');

        $toliq = hash_hmac('sha256', $ustun . ':' . $tayyor,
            $this->indeksKaliti, true);

        // Qisqartirish ataylab: to'qnashuvlar chastota tahlilini qiyinlashtiradi
        return bin2hex(substr($toliq, 0, 8));
    }
}

$indeks = new KorIndeks(hex2bin(str_repeat('7e', 32)));

$emaillar = [
    '[email protected]',
    '[email protected]',    // katta harf
    '  [email protected] ', // ortiqcha bo'shliq
    '[email protected]',
];

foreach ($emaillar as $e) {
    printf('%-24s %s%s', "'" . trim($e) . "'",
        $indeks->indeks($e, 'email'), PHP_EOL);
}

echo PHP_EOL, 'birinchi uchtasi bir xil - normallashtirish ishladi', PHP_EOL;

final class MijozOmbori
{
    /** @var array<int, array{email_shifr: string, email_indeks: string}> */
    private array $jadval = [];
    private int $keyingiId = 1;

    public function __construct(
        private readonly MaydonShifri $shifr,
        private readonly KorIndeks $indeks,
    ) {}

    public function qosh(string $email): int
    {
        $id = $this->keyingiId++;

        $this->jadval[$id] = [
            'email_shifr' => $this->shifr->shifrla($email, "mijozlar:{$id}:email"),
            'email_indeks' => $this->indeks->indeks($email, 'email'),
        ];

        return $id;
    }

    public function emailBoyichaTop(string $email): array
    {
        $qidiruv = $this->indeks->indeks($email, 'email');
        $topilgan = [];

        foreach ($this->jadval as $id => $qator) {
            // 1. Indeks bo'yicha filtr (bazada bu INDEX orqali tez ketadi)
            if (!hash_equals($qator['email_indeks'], $qidiruv)) {
                continue;
            }

            // 2. Ochib, ANIQ solishtirish - to'qnashuvga qarshi
            $ochilgan = $this->shifr->och($qator['email_shifr'],
                "mijozlar:{$id}:email");

            if (hash_equals($ochilgan, mb_strtolower(trim($email), 'UTF-8'))) {
                $topilgan[] = $id;
            }
        }

        return $topilgan;
    }

    public function soni(): int
    {
        return count($this->jadval);
    }
}

$ombor = new MijozOmbori(
    new MaydonShifri(hex2bin(str_repeat('4d', 32))),
    new KorIndeks(hex2bin(str_repeat('7e', 32))),
);

foreach (['[email protected]', '[email protected]',
          '[email protected]', '[email protected]'] as $e) {
    $ombor->qosh($e);
}

korsat('jadvalda', $ombor->soni() . ' ta yozuv');
korsat('malika qidiruvi',
    implode(', ', $ombor->emailBoyichaTop('[email protected]')));
korsat('katta harf bilan',
    implode(', ', $ombor->emailBoyichaTop('[email protected]')));
korsat('mavjud emas',
    $ombor->emailBoyichaTop('[email protected]') === []
        ? '(topilmadi)' : 'topildi');

final class KonvertShifri
{
    /** @var array<int, string> versiya => asosiy kalit (KEK) */
    private array $kekLar;
    private int $joriyVersiya;

    /** @param array<int, string> $kekLar */
    public function __construct(array $kekLar, int $joriyVersiya)
    {
        $this->kekLar = $kekLar;
        $this->joriyVersiya = $joriyVersiya;
    }

    public function shifrla(string $matn): string
    {
        // 1. Har yozuvga YANGI ma'lumot kaliti (DEK)
        $dek = random_bytes(32);
        $nonce = random_bytes(12);
        $teg = '';

        $shifr = openssl_encrypt($matn, 'aes-256-gcm', $dek,
            OPENSSL_RAW_DATA, $nonce, $teg);

        // 2. DEK ni asosiy kalit (KEK) bilan shifrlaymiz
        $kekNonce = random_bytes(12);
        $kekTeg = '';
        $oralganDek = openssl_encrypt($dek, 'aes-256-gcm',
            $this->kekLar[$this->joriyVersiya], OPENSSL_RAW_DATA,
            $kekNonce, $kekTeg);

        return implode('.', [
            'k' . $this->joriyVersiya,
            base64_encode($kekNonce . $kekTeg . $oralganDek),
            base64_encode($nonce . $teg . $shifr),
        ]);
    }

    public function och(string $saqlangan): string
    {
        [$versiyaBelgisi, $oralganB64, $malumotB64] = explode('.', $saqlangan, 3);
        $versiya = (int) substr($versiyaBelgisi, 1);

        if (!isset($this->kekLar[$versiya])) {
            throw new RuntimeException("kalit versiyasi {$versiya} mavjud emas");
        }

        // 1. DEK ni ochamiz
        $oralgan = base64_decode($oralganB64);
        $dek = openssl_decrypt(substr($oralgan, 28), 'aes-256-gcm',
            $this->kekLar[$versiya], OPENSSL_RAW_DATA,
            substr($oralgan, 0, 12), substr($oralgan, 12, 16));

        if ($dek === false) {
            throw new RuntimeException('DEK ochilmadi');
        }

        // 2. Ma'lumotni ochamiz
        $malumot = base64_decode($malumotB64);
        $matn = openssl_decrypt(substr($malumot, 28), 'aes-256-gcm', $dek,
            OPENSSL_RAW_DATA, substr($malumot, 0, 12),
            substr($malumot, 12, 16));

        if ($matn === false) {
            throw new RuntimeException('malumot ochilmadi');
        }

        return $matn;
    }

    /** Kalit almashtirish: faqat DEK qayta o'raladi, ma'lumot tegilmaydi */
    public function kalitniYangila(string $saqlangan): string
    {
        [$versiyaBelgisi, $oralganB64, $malumotB64] = explode('.', $saqlangan, 3);
        $versiya = (int) substr($versiyaBelgisi, 1);

        $oralgan = base64_decode($oralganB64);
        $dek = openssl_decrypt(substr($oralgan, 28), 'aes-256-gcm',
            $this->kekLar[$versiya], OPENSSL_RAW_DATA,
            substr($oralgan, 0, 12), substr($oralgan, 12, 16));

        if ($dek === false) {
            throw new RuntimeException('DEK ochilmadi');
        }

        $yangiNonce = random_bytes(12);
        $yangiTeg = '';
        $yangiOralgan = openssl_encrypt($dek, 'aes-256-gcm',
            $this->kekLar[$this->joriyVersiya], OPENSSL_RAW_DATA,
            $yangiNonce, $yangiTeg);

        return implode('.', [
            'k' . $this->joriyVersiya,
            base64_encode($yangiNonce . $yangiTeg . $yangiOralgan),
            $malumotB64,          // MA'LUMOT O'ZGARMADI
        ]);
    }
}

$kekLar = [
    1 => hex2bin(str_repeat('11', 32)),
    2 => hex2bin(str_repeat('22', 32)),
];

// Eski kalit bilan shifrlangan yozuv
$eski = new KonvertShifri($kekLar, 1);
$yozuv = $eski->shifrla('Juda maxfiy hisobot matni');

korsat('kalit versiyasi', explode('.', $yozuv)[0]);
korsat('ochildi', $eski->och($yozuv));

// Kalit almashtirildi - endi 2-versiya joriy
$yangi = new KonvertShifri($kekLar, 2);
$yangilangan = $yangi->kalitniYangila($yozuv);

korsat('yangi versiya', explode('.', $yangilangan)[0]);
korsat('yangi kalit bilan', $yangi->och($yangilangan));

// Ma'lumot qismi o'zgarmagan
$eskiMalumot = explode('.', $yozuv)[2];
$yangiMalumot = explode('.', $yangilangan)[2];
korsat('malumot ozgardimi', $eskiMalumot === $yangiMalumot ? 'yoq' : 'HA');