PHP 密码哈希函数 password_hash() 安全性详解及常见误区
在PHP用户密码管理中，安全存储密码至关重要。password_hash() 函数是PHP内置的密码哈希函数，被广泛应用于安全地处理用户密码。本文将深入探讨 password_hash() 函数的安全性，并澄清一个常见的误解。
问题：密码验证失败的根源
一些开发者反馈，使用 password_hash() 处理密码后，即使输入错误的密码，也能通过验证。 例如，以下代码片段只展示了密码哈希过程：
立即学习“PHP免费学习笔记（深入）”；
public function hashPassword(string $password)
{
return password_hash($password, PASSWORD_DEFAULT);
}
这并非 password_hash() 函数本身的问题，而是密码验证逻辑的错误。 password_hash() 函数本身是安全的，它使用bcrypt算法（在PHP 7.4中为默认算法），其高计算成本有效抵御暴力破解和彩虹表攻击。
正确的密码验证方法
问题出在没有使用 password_verify() 函数进行密码验证。 password_verify() 函数用于比较用户输入的密码与存储的哈希值，而不是直接比较哈希值。 正确的验证逻辑应该如下：
// ... (假设 $hashedPassword 从数据库中获取) ...
if (password_verify($userInputPassword, $hashedPassword)) {
// 密码验证成功
} else {
// 密码验证失败
}
因此，开发者需要仔细检查密码验证部分的代码，确保使用了 password_verify() 函数进行正确的比较。 仅仅使用 password_hash() 进行哈希处理是不够的，必须结合 password_verify() 进行安全验证。
