Php 为什么这段代码创建一个有效的证书而不是产生一个错误？_Php_Security_Encryption_Cryptography_Openssl

Php 为什么这段代码创建一个有效的证书而不是产生一个错误？

php security encryption cryptography openssl

Php 为什么这段代码创建一个有效的证书而不是产生一个错误？,php,security,encryption,cryptography,openssl,Php,Security,Encryption,Cryptography,Openssl,我有以下我认为是有效的代码，在Debian stable上试用后，效果如预期： $config = array( 'private_key_bits' => 4096, 'digest_alg' => 'sha2', 'private_key_type' => OPENSSL_KEYTYPE_RSA, ); // Create the private and public key $res = openssl_pkey_new($config); if

我有以下我认为是有效的代码，在Debian stable上试用后，效果如预期：

$config = array(
    'private_key_bits' => 4096,
    'digest_alg' => 'sha2',
    'private_key_type' => OPENSSL_KEYTYPE_RSA,
);

// Create the private and public key
$res = openssl_pkey_new($config);
if ($res === false) {
    throw new Exception('Key generation failed: '.openssl_error_string());
}

// Extract the private key from $res to $priv
openssl_pkey_export($res, $priv);

echo $priv;

这是上述代码的结果：

但是我注意到，如果我将$config中的所有参数都更改为无效参数，我仍然会得到一个正在生成的证书，而不是某种错误，并且我可以使用该证书进行加密和解密、签名和验证，而不会出现任何问题：

$config = array(
    'private_key_bits' => (-1 * pi()), // negative pi. Also tried with a string
    'digest_alg' => 'blah1024',
    'private_key_type' => 'hello',
);

这是使用上述无效参数生成的示例：

所以我有几个问题

这是PHP中的一个bug吗？例如，如果有人认为他们创建了大量的位，却发现他们将4096拼错为4O96，加上大写字母“o”，并且默认为1024位，或者因为拼错了它的名称，它使用了类似md5的东西而不是真正令人敬畏的摘要方法，这难道不会导致错误的安全感吗？或者这是出于某种设计

如果此函数提供了无效选项，PHP将使用哪些选项

是否有任何方法可以验证$options中使用的参数，以确保在此过程中不会出现任何混乱？编辑我看到，对于比特数和密钥类型，在openssl_pkey_get_详细信息中，但不是摘要算法

听起来像是可靠的PHP代码实践：PHP函数喜欢隐藏问题，尤其是在加密领域。例如：哦，你的对称密钥太短了，让我在不告诉你的情况下为你展开它。@ArtjomB。我认为他们在最新版本的mcrypt包装器中修复了这个问题，但是是的，这显示了PHP的总体思想。你可以为打字能力差等问题争论不休，但你不能既有蛋糕又有蛋糕。@ArtjomB.-OpenSSL CLI也可以做到这一点。举个例子：openssl enc-aes-128-cbc-e-in-in.txt-out.txt-nosalt-K AA-iv AA-p输出key=aa000000000000000000和iv=AA000000000000000000000000000000。ie。它是null填充键。@neubert哦，天哪，openssl填充键，IV填充零是我真的不想知道的信息。