使用password_hash()安全加密密码，password_verify()验证登录，password_needs_rehash()检测哈希强度并更新，确保用户密码存储安全。
如果您正在开发一个需要用户注册和登录的PHP应用，如何安全地存储密码是一个至关重要的问题。直接存储明文密码是极其危险的做法，一旦数据库泄露，所有用户账户都将面临风险。以下是使用PHP内置函数 password_hash() 安全处理用户密码的具体方法。
一、使用 password_hash() 生成哈希密码
PHP 提供了 password_hash() 函数，用于对用户密码进行安全的哈希处理。该函数默认使用强大的 Bcrypt 算法，并自动处理盐值（salt）的生成，避免开发者手动管理盐值带来的安全隐患。
1、调用 password_hash() 函数，传入用户提供的明文密码和哈希算法常量。
2、推荐使用 PASSWORD_DEFAULT 作为算法参数，它当前指向 Bcrypt，并能在未来 PHP 版本中自动升级到更安全的算法。
立即学习“PHP免费学习笔记（深入）”；
3、将生成的哈希字符串存储到数据库中，长度通常为60个字符。
示例代码：$hashedPassword = password_hash($password, PASSWORD_DEFAULT);
二、使用 password_verify() 验证用户登录
当用户尝试登录时，不能解密已哈希的密码，而应使用 password_verify() 函数将用户输入的明文密码与数据库中存储的哈希值进行比对。该函数会自动提取哈希中的盐值并执行相同的哈希过程进行验证。
1、从数据库中查询出对应用户的哈希密码。
2、调用 password_verify() 函数，传入用户提交的明文密码和数据库中取出的哈希值。
3、根据函数返回的布尔值判断密码是否正确。
示例代码：if (password_verify($inputPassword, $storedHash)) { /* 登录成功 */ }
三、使用 password_needs_rehash() 检查哈希强度
随着时间推移，系统可能更新了哈希算法或调整了成本参数（cost）。password_needs_rehash() 函数可用于检测数据库中存储的哈希是否仍符合当前的安全标准。如果不符合，可以在用户登录时重新哈希密码。
1、在验证密码后，立即调用 password_needs_rehash() 检查现有哈希是否满足当前配置。
2、如果返回 true，则使用新的参数重新调用 password_hash() 并更新数据库中的哈希值。
3、此操作可在不影响用户体验的前提下逐步提升系统整体安全性。
示例代码：if (password_verify($inputPassword, $storedHash) && password_needs_rehash($storedHash, PASSWORD_DEFAULT, ['cost' => 12])) { $newHash = password_hash($inputPassword, PASSWORD_DEFAULT, ['cost' => 12]); /* 更新数据库 */ }
