В общем случае, кто ближе к пользователю тот и раньше (т.е. сначала CF, потом веб-сервер, потом PHP), но при желании и/или должной кривизне рук наверняка можно наворотить странного.
Ну и неплохо бы понимать как работает http в принципе.
Меня смущают две вещи:
1. что в шифре 34 байта, должно быть что-то длиной 12 + 16k.
2. что generateAESKeyFromPassword использует random. Генерация ключа из пароля должна быть однозначной.
> раздаче статики и proxy_pass. Ну и терминации SSL
сделать это по простому очень просто. А вот дальше начинаются нюансы. Как не сожрать всю память, как работать одновременно с десятками тысяч клиентов? Как защитится от всяких атак и кривых запросов? И из таких мелочей в результате и набирается понимание что лучше сосредоточится на основной функции твоего приложения, а всю рутину отдать на откуп программе которая специально для этого написана и все эти мелочи уже учтены.
А в запросе что?