本文介绍一种安全、可靠的方法，用于生成一个5位纯数字密码，并确保该数字未被任何现有 bcrypt 哈希值（如 password_hash）所匹配。核心思路是持续生成随机数并验证其未被现有哈希“接受”，而非直接比对明文。
在用户系统中，有时需为临时登录、短信验证码或初始密码生成一个简短、易记的5位数字（如 12345），但又必须保证该数字不会意外通过任意一条已存储的 bcrypt 密码哈希校验——因为 password_verify($plain, $hash) 的设计目标是抵御碰撞，但理论上仍存在极小概率使不同明文通过同一哈希（尤其当哈希基于弱口令策略时）。因此，不能假设“数据库里没存过 12345”就等于“12345 不会通过任一哈希校验”，而应主动验证。
以下是一个健壮、可直接使用的实现：
function createLoginPassword(): int {
// 模拟从数据库查询出的所有 bcrypt 哈希值（PASSWORD_HASH 格式）
$storedHashes = [
'$2y$10$gPenW2YPLzoZOKb/PZ8SC.UFh6C0cLALoO11x/8hjP3GeefMJ6sOu', // 对应明文可能是 "1"
'$2y$10$iOOmAx4kJLNP5H91tfoaz.SarIA1byrUgEE8rtt9llqth5l4v5ACC', // 对应明文可能是 "42"
// ... 更多哈希（实际应来自 SELECT password_hash FROM users）
];
do {
// 严格生成 5 位数字：10000–99999（避免前导零导致位数不足）
$candidate = rand(10000, 99999);
// 检查是否存在任一已存哈希会将该数字视为有效明文
$isCollision = array_reduce($storedHashes, function ($carry, $hash) use ($candidate) {
return $carry || password_verify((string)$candidate, $hash);
}, false);
} while ($isCollision);
return $candidate;
}
// 使用示例
echo createLoginPassword(); // 输出如：73829（确保不被任一 $storedHashes 接受）✅ 关键改进说明：
- 使用 rand(10000, 99999) 确保始终为严格5位数字（排除 00123 这类字符串化后丢失位数的情况）；
- array_reduce 替代 array_filter + !empty，逻辑更清晰、性能略优，且明确表达“只要有一个哈希接受即为冲突”；
- 强制 (string)$candidate 传入 password_verify()，因该函数要求明文为字符串，而 rand() 返回整型；
- 函数返回类型声明 : int 提升可维护性与 IDE 支持。
⚠️ 重要注意事项：
- 这不是密码强度增强手段：5位数字本身熵值仅约 16.6 bit，绝不适用于主账户密码，仅适合短期、低敏感度场景（如一次性登录令牌）；
- 哈希数量影响性能：若数据库含数万条哈希，此方法可能因多次循环变慢；此时建议改用「预生成+布隆过滤器」或「服务端随机盐+哈希比对缓存」等进阶方案；
- 务必确保哈希来源可信：所有 $storedHashes 必须真实来自 password_hash() 生成的 bcrypt 哈希（以 $2y$、$2a$ 或 $2b$ 开头），否则 password_verify() 行为未定义；
- 生产环境请加超时保护：可在 do-while 中加入最大尝试次数（如 1000 次），防止极端情况下死循环。
总结：该方案以最小侵入性解决了“明文数字不触发任意已有哈希”的验证需求，兼顾正确性与实用性，是临时密码生成场景下的推荐实践。
