TL;DR
Uma técnica simplista que você pode usar para se proteger "contra olhares curiosos" e ter um tipo básico (baixo) de "segurança" é ofuscar o código.
É possível obter uma segurança mais elevada com ofuscadores de bytecode, entretanto as ferramentas disponíveis (que eu conheço) são pagas e exigem a instalação de extensões no PHP, o que não seria possível em hospedagens compartilhadas, por exemplo.
Motivação
Particularmente, há vários anos eu usava uma técnica simples de ofuscação quando desenvolvi um CMS (Content Management System) próprio que era instalado em sites de vários clientes, ou seja, hospedagens que estavam em poder dos mesmos. Isso foi na época em que a extensão PHAR ainda era experimental.
Meu objetivo com a ofuscação era evitar que um "sobrinho" qualquer (pseudo-webdesigner) que soubesse usar cliente de FTP começasse a fuçar no sistema, tentar copiar para outro site, etc. Na verdade, já ocorreu de um cliente curioso, dado a entendido, bisbilhotar o fonte para tentar burlar certas validações. Então, era um tipo de "segurança for dummies".
Implementação Simplista
Eu sabia que a "segurança" obtida via ofuscação era apenas contra bisbilhoteiros sem capacitação em programação, então usei uma técnica muito simples.
Primeiro instalei o Phing, uma espécie de Ant para PHP, de forma que eu pude automatizar o processo de ofuscação.
Depois eu criei uma task onde, para cada arquivo:
- Usava o método
php_strip_whitespace
para limpar o código-fonte.
- Codificava o conteúdo em base 64 e colocava-o numa String.
- O resultado era colocado em um novo arquivo numa estrutura de pastas paralela, que usava um
eval
para conseguir executar o código.
O código era muito parecido com este, que achei no SOEN:
<?php
$infile=$_SERVER['argv'][4];
$outfile=$_SERVER['argv'][5];
if (!$infile || !$outfile) {
die("Usage: php {$_SERVER['argv'][0]} <input file> <output file>\n");
}
echo "Processing $infile to $outfile\n";
$data="ob_end_clean();?>";
$data.=php_strip_whitespace($infile);
// compress data
$data=gzcompress($data,9);
// encode in base64
$data=base64_encode($data);
// generate output text
$out='<?ob_start();$a=\''.$data.'\';eval(gzuncompress(base64_decode($a)));$v=ob_get_contents();ob_end_clean();?>';
// write output text
file_put_contents($outfile,$out);
A maior diferença é que originalmente eu não capturava a saída numa variável nem usava compressão.
Note que essa é uma abordagem extremamente simplista. Por exemplo, essa técnica não leva em consideração o desempenho. No exemplo pessoal que citei não houve impacto perceptível, mas se houver volume de acessos e/ou uma quantidade razoável de arquivos essa deve ser uma preocupação. Além disso, é fácil para um desenvolvedor descompilar o código original.
Soluções de "mercado"
Ao invés de reinventar a roda, existem algumas ferramentas que você pode usar para fazer a ofuscação. Na verdade, algumas chegam a armazenar e ofuscar o bytecode, o que vai de encontro com a parte da pergunta que se refere ao desempenho.
Note que não tenho experiência com essas ferramentas, já que elas nem existiam quando eu precisei. Porém, sugiro que faça alguns testes e verifique por si mesmo, tentando reverter a ofuscação, se você é capaz de fazê-lo e com qual dificuldade. Além disso, calcule a diferença no tempo de uma solicitação ao usar um código "normal" e um código "compilado" ou ofuscado.
Um ofuscador de código livre que, além de ofuscar o código em geral, altera nomes de funções e variáveis de modo a dificultar a leitura mesmo que se consiga fazer a engenharia reversa.
Uma ferramenta gratuita que processa todos os scripts em uma pasta. Provavelmente usa uma técnica simples de ofuscação.
Ferramenta paga. Diz usar uma técnica diferente para melhorar o desempenho do script ofuscado.
Ferramenta paga que possibilita armazenar o bytecode, criptografá-lo, ofuscá-lo, acrescentar um tempo de expiração, restringir o uso a um MAC Address, etc. Ela já possui uma task Phing chamada IoncubeEncoderTask
para processar os arquivos automaticamente.
Esta é uma das ferramentas mais completas da categoria. Entretanto, para execução dos arquivos codificados, é necessário instalar uma extensão no PHP. Logo essa solução é inviável para shared hosts.
Ferramenta paga da Zend (empresa que desenvolve o PHP) que permite ofuscar o código e proteger a execução do script de diversas formas (semelhante ao descrito anteriormente no IconCube).
Considerações
Nenhuma proteção garante 100% de segurança. Mesmo as melhores soluções pagas apresentadas acima não são 100% seguras. O site zendecode.com, por exemplo, afirma descompilar instantaneamente código do Zend Guard e IconCube.
Enfim, em minha opinião, a melhor proteção não está no código, mas em oferecer serviços com qualidade e excelência. Afinal, para nossa felicidade ou infelicidade, não existem muitos fornecedores de software bons por aí e copiar seu código (a não ser que este contenha alguma informação sigilosa) não vai dar muitas vantagens competitivas para possíveis concorrentes.