# `naisi_aes_gcm_decrypt`

解密并认证 naisi_aes_gcm_encrypt() 生成的版本化 AES-256-GCM 信封。

本函数从密文内部恢复密钥名，并使用与加密时相同的 Customer ID、Build ID、底层 AES 密钥和
salt；不使用设备机器指纹。任一身份、参数、密钥、信封版本或认证标签不匹配都会失败，
且不会返回部分明文。

注意：有效明文本身可以是空字符串，调用方必须使用 === false 判断失败，不能使用
if (!$result)。不同 Build ID 下的旧密文不能直接解密，数据库密文应随版本升级迁移。

## 函数签名

```php
function naisi_aes_gcm_decrypt(string $encrypted, string $salt): string|false
```

## 调用前提

应用入口先调用 [naisi_is_ext_license_valid](/web/developers/naisilib/naisi-is-ext-license-valid) 并确认返回 `true`。认证 Agent 发布的许可与 heartbeat 快照，并建立或复用本请求的 BASIC 证明；不会读取许可文件或检查当前 Host。

授权类别：`LICENSE`；执行模式：`BASIC`。许可不代替登录、租户或权限上下文；身份与数据要求见本页参数及用途说明。

## 参数

### `$encrypted`

- 类型：`string`
- 必填：是
- 默认值：无
- 方向：输入参数。

naisi_aes_gcm_encrypt() 返回的完整项目 URL 安全 Base64 信封，不得截断或改写；最大 24 MiB + 16 字节。

### `$salt`

- 类型：`string`
- 必填：是
- 默认值：无
- 方向：输入参数。

加密时使用的同一份 10 字节业务盐，必须逐字节一致。

## 返回值

类型：`string|false`

认证成功时返回原始明文字节字符串（可能是 ""）；格式、身份、密钥或认证失败时返回 false。

## 调用示例

当前请求须满足上方调用前提；请检查实际返回值和引用输出，随机结果及数据包内容以运行环境为准。

```php
$salt = 'aessalt001';
$ciphertext = naisi_aes_gcm_encrypt('订单内容', $salt);
if ($ciphertext === null) { throw new RuntimeException('加密失败'); }
$plaintext = naisi_aes_gcm_decrypt($ciphertext, $salt);
if ($plaintext === false) { throw new RuntimeException('解密失败'); }
echo $plaintext; // 订单内容
```

## 升级说明

当前签名不再接收 `$key_name`；密钥标识由扩展选择或从信封中恢复。调用方须按新签名调整位置参数和命名参数。

## 版本信息

- 自版本：`1.0.6`
- 实现模块：`crypto`
- 授权类别：`LICENSE` / `BASIC`
- 失败回退：`false`
- 文档同步：`2026-10-18`