naisi_aes_gcm_encrypt
使用共享 AES 密钥、10 字节业务盐和当前许可身份生成 AES-256-GCM 认证密文。
扩展从已启用的内部 AES 密钥中随机选取一把，密钥标识通过 11 字节 key_block 随密文传递。 密文的密钥派生和认证数据绑定密钥名、盐、许可 Customer ID 与 Build ID，不使用 当前设备的机器指纹。相同明文每次都会生成随机 nonce，因此密文通常不同；这不影响 另一台设备解密。
跨设备解密必须同时满足：Customer ID、Build ID、key_name、salt 完全一致，并且 两端密钥库中配置的是同一份底层 AES 密钥。共享快照文件还受各自许可与构建身份保护， 不应直接从一台设备复制到另一台设备，应由每台设备的 Agent 从相同密钥数据生成。
注意：Build ID 参与实际密钥派生和认证。升级到不同 Build ID 后，即使项目私有盐和 底层 AES 密钥不变，也不能直接解密旧密文；持久化到数据库的密文必须在升级流程中 解密迁移并重新加密。
函数签名
function naisi_aes_gcm_encrypt(string $plaintext, string $salt): ?string调用前提
应用入口先调用 naisi_is_ext_license_valid 并确认返回 true。认证 Agent 发布的许可与 heartbeat 快照，并建立或复用本请求的 BASIC 证明；不会读取许可文件或检查当前 Host。
授权类别：LICENSE；执行模式：BASIC。许可不代替登录、租户或权限上下文；身份与数据要求见本页参数及用途说明。
参数
$plaintext
- 类型：
string - 必填：是
- 默认值：无
- 方向：输入参数。
需要加密的任意字节字符串，可为空；最大 16 MiB。
$salt
- 类型：
string - 必填：是
- 默认值：无
- 方向：输入参数。
恰好 10 字节的业务盐；解密时必须原样传回。它不是设备指纹，也不是随机 nonce。
返回值
类型：string|null
成功时返回项目 URL 安全 Base64(key_block + AEAD 信封)；参数无效、未授权、密钥不可用或加密失败时返回 null。
调用示例
当前请求须满足上方调用前提；请检查实际返回值和引用输出，随机结果及数据包内容以运行环境为准。
$salt = 'aessalt001'; // 恰好 10 字节
$ciphertext = naisi_aes_gcm_encrypt('订单内容', $salt);
if ($ciphertext === null) { throw new RuntimeException('加密失败'); }
echo $ciphertext; // 随机 nonce 使每次结果不同升级说明
当前签名不再接收 $key_name；密钥标识由扩展选择或从信封中恢复。调用方须按新签名调整位置参数和命名参数。
版本信息
- 自版本：
1.0.6 - 实现模块：
crypto - 授权类别：
LICENSE/BASIC - 失败回退：
null - 文档同步：
2026-10-18