naisi_derive_aes_key_material

从两个 10 字节盐和许可中的项目私有盐确定性派生 AES 密钥材料。 CBC 模式供前端业务显式选择，是当前业务功能，与内部 Token 的 GCM 信封协议独立。 仅此材料派生接口提供 CBC 选择器；不会改变其他 AES 或登录接口的加密模式。

本函数使用许可文件中的 29 字节项目私有盐，但不使用 Customer ID、Build ID、License ID、 设备机器指纹或随机数。不同设备在项目私有盐、两个输入盐、cipher 和算法版本完全相同 时会得到逐字节相同的结果。

注意：输出属于敏感密钥材料，不得记录到日志、提交到代码仓库或通过接口返回给 不可信调用方。项目私有盐或任一输入盐改变都会产生不同结果；如果结果用于持久化数据， 更换项目私有盐前必须完成数据迁移。

函数签名

function naisi_derive_aes_key_material(string $public_salt, string $private_salt, int $cipher = NAISI_AES_CIPHER_GCM): array|string|null

调用前提

应用入口先调用 naisi_is_ext_license_valid 并确认返回 true。认证 Agent 发布的许可与 heartbeat 快照，并建立或复用本请求的 BASIC 证明；不会读取许可文件或检查当前 Host。

授权类别：LICENSE；执行模式：BASIC。许可不代替登录、租户或权限上下文；身份与数据要求见本页参数及用途说明。

参数

$public_salt

• 类型：string
• 必填：是
• 默认值：无
• 方向：输入参数。

恰好 10 字节的公开盐。名称“公开”不代表可以随意变化；重新派生时必须逐字节一致。

$private_salt

• 类型：string
• 必填：是
• 默认值：无
• 方向：输入参数。

恰好 10 字节的私有盐；属于敏感输入，不得记录到日志或向无关调用方返回。

$cipher

• 类型：int
• 必填：否
• 默认值：NAISI_AES_CIPHER_GCM
• 方向：输入参数。

输出材料的模式，仅允许 NAISI_AES_CIPHER_GCM（默认）或 NAISI_AES_CIPHER_CBC；两种模式的返回结构和内容不兼容。

返回值

类型：array{key: string, iv: string}|string|null

GCM 模式返回 32 字节派生密钥的标准 Base64 字符串，固定 44 字符并保留 = 填充；CBC 模式返回包含二进制字节字符串 key 和 iv 的数组，在当前固定 29 字节项目私有盐下，key 为 32 字节、iv 为 25 字节。参数无效、未授权或派生失败时返回 null。CBC 的 25 字节 iv 是项目约定的派生材料，不得作为通用 16 字节 AES-CBC IV 直接使用。

关联常量

• NAISI_AES_CIPHER_GCM = 1 — AES 材料派生默认模式：返回 32 字节密钥的标准 Base64 字符串。
• NAISI_AES_CIPHER_CBC = 2 — 前端业务的 CBC 材料派生模式：返回二进制 key/iv 数组，当前长度为 32/25 字节。 仅用于材料派生；25 字节 iv 不能直接作为通用 AES-CBC 的 16 字节 IV。

调用示例

当前请求须满足上方调用前提；请检查实际返回值和引用输出，随机结果及数据包内容以运行环境为准。

$public_salt = 'pubsalt001';
$private_salt = 'privsalt01';
$cipher = 1;

$result = naisi_derive_aes_key_material($public_salt, $private_salt, $cipher);
var_dump($result);

版本信息

• 自版本：1.0.6
• 实现模块：crypto
• 授权类别：LICENSE / BASIC
• 失败回退：null
• 文档同步：2026-10-18