# `naisi_derive_aes_key_material`

从两个 10 字节盐和许可中的项目私有盐确定性派生 AES 密钥材料。
CBC 模式供前端业务显式选择，是当前业务功能，与内部 Token 的 GCM 信封协议独立。
仅此材料派生接口提供 CBC 选择器；不会改变其他 AES 或登录接口的加密模式。

本函数使用许可文件中的 29 字节项目私有盐，但不使用 Customer ID、Build ID、License ID、
设备机器指纹或随机数。不同设备在项目私有盐、两个输入盐、cipher 和算法版本完全相同
时会得到逐字节相同的结果。

注意：输出属于敏感密钥材料，不得记录到日志、提交到代码仓库或通过接口返回给
不可信调用方。项目私有盐或任一输入盐改变都会产生不同结果；如果结果用于持久化数据，
更换项目私有盐前必须完成数据迁移。

## 函数签名

```php
function naisi_derive_aes_key_material(string $public_salt, string $private_salt, int $cipher = NAISI_AES_CIPHER_GCM): array|string|null
```

## 调用前提

应用入口先调用 [naisi_is_ext_license_valid](/web/developers/naisilib/naisi-is-ext-license-valid) 并确认返回 `true`。认证 Agent 发布的许可与 heartbeat 快照，并建立或复用本请求的 BASIC 证明；不会读取许可文件或检查当前 Host。

授权类别：`LICENSE`；执行模式：`BASIC`。许可不代替登录、租户或权限上下文；身份与数据要求见本页参数及用途说明。

## 参数

### `$public_salt`

- 类型：`string`
- 必填：是
- 默认值：无
- 方向：输入参数。

恰好 10 字节的公开盐。名称“公开”不代表可以随意变化；重新派生时必须逐字节一致。

### `$private_salt`

- 类型：`string`
- 必填：是
- 默认值：无
- 方向：输入参数。

恰好 10 字节的私有盐；属于敏感输入，不得记录到日志或向无关调用方返回。

### `$cipher`

- 类型：`int`
- 必填：否
- 默认值：`NAISI_AES_CIPHER_GCM`
- 方向：输入参数。

输出材料的模式，仅允许 NAISI_AES_CIPHER_GCM（默认）或 NAISI_AES_CIPHER_CBC；两种模式的返回结构和内容不兼容。

## 返回值

类型：`array{key: string, iv: string}|string|null`

GCM 模式返回 32 字节派生密钥的标准 Base64 字符串，固定 44 字符并保留 = 填充；CBC 模式返回包含二进制字节字符串 key 和 iv 的数组，在当前固定 29 字节项目私有盐下，key 为 32 字节、iv 为 25 字节。参数无效、未授权或派生失败时返回 null。CBC 的 25 字节 iv 是项目约定的派生材料，不得作为通用 16 字节 AES-CBC IV 直接使用。

## 关联常量

- [`NAISI_AES_CIPHER_GCM`](/web/developers/naisilib/const#naisi-aes-cipher-gcm) = `1` — AES 材料派生默认模式：返回 32 字节密钥的标准 Base64 字符串。
- [`NAISI_AES_CIPHER_CBC`](/web/developers/naisilib/const#naisi-aes-cipher-cbc) = `2` — 前端业务的 CBC 材料派生模式：返回二进制 key/iv 数组，当前长度为 32/25 字节。 仅用于材料派生；25 字节 iv 不能直接作为通用 AES-CBC 的 16 字节 IV。

## 调用示例

当前请求须满足上方调用前提；请检查实际返回值和引用输出，随机结果及数据包内容以运行环境为准。

```php
$public_salt = 'pubsalt001';
$private_salt = 'privsalt01';
$cipher = 1;

$result = naisi_derive_aes_key_material($public_salt, $private_salt, $cipher);
var_dump($result);
```

## 版本信息

- 自版本：`1.0.6`
- 实现模块：`crypto`
- 授权类别：`LICENSE` / `BASIC`
- 失败回退：`null`
- 文档同步：`2026-10-18`