本文介绍一种高效、可靠的方法，用于生成不与数据库中已有密码哈希值冲突的随机5位数字（10000–99999），并利用 password_verify() 进行校验，确保新生成的数字未被任何现有哈希所匹配。
在用户系统或临时登录凭证场景中，有时需为用户分配一个纯数字的短密码（如5位验证码式登录口令），同时要求该数字尚未被任何已存储的密码哈希所覆盖——即：password_verify($candidate, $stored_hash) 对所有现存哈希均返回 false。这并非检查明文是否重复，而是防止不同明文意外产生相同哈希（尽管概率极低），更关键的是避免「数字本身已被他人用作密码并存入数据库」这一业务逻辑冲突。
原始代码存在多个关键问题：
- 内层 do...while 循环嵌套在 foreach 中，导致每个哈希单独校验、反复覆盖 $output_password，逻辑错乱；
- rand(0,4) 仅生成 0–4 的单个数字，远非「5位数」；
- check() 函数设计冗余，且未考虑多哈希批量验证需求。
以下是优化后的实现方案：
function createLoginPassword(): int
{
// 模拟从数据库查询得到的已存在密码哈希数组（实际应来自 PDO/MySQLi 查询）
$existingHashes = [
'$2y$10$gPenW2YPLzoZOKb/PZ8SC.UFh6C0cLALoO11x/8hjP3GeefMJ6sOu', // 哈希自 "12345"
'$2y$10$iOOmAx4kJLNP5H91tfoaz.SarIA1byrUgEE8rtt9llqth5l4v5ACC', // 哈希自 "67890"
];
do {
// 严格生成 5 位数字：10000 ~ 99999
$candidate = rand(10000, 99999);
// 检查是否与任一已有哈希匹配
$isDuplicate = array_reduce($existingHashes, function ($carry, $hash) use ($candidate) {
return $carry || password_verify((string)$candidate, $hash);
}, false);
} while ($isDuplicate);
return $candidate;
}
// 使用示例
$newPassword = createLoginPassword();
echo "生成的唯一5位登录密码：{$newPassword}\n";✅ 关键改进说明：
- 使用 array_reduce() 实现「只要任一哈希验证通过即视为冲突」的语义，逻辑清晰且短路高效；
- 显式强转 (string)$candidate，因 password_verify() 要求第一个参数为字符串；
- rand(10000, 99999) 确保输出恒为5位整数（无前导零问题）；
- 函数添加返回类型声明 : int，提升可维护性与 IDE 支持。
⚠️ 注意事项：
- 若数据库哈希量极大（如 >10万条），建议改用数据库层去重（如 WHERE NOT EXISTS (SELECT 1 FROM users WHERE password_hash = PASSWORD(?))），避免 PHP 层全量拉取与遍历；
- 生产环境应配合唯一索引 + 重试机制（如最多尝试 100 次后抛出异常），防止极端哈希碰撞或数据倾斜导致死循环；
- 此方案适用于低频、小规模场景（如后台管理员一次性生成测试账号）；高并发分发场景推荐结合 Redis 原子计数器或 UUID 衍生策略。
该方法兼顾安全性、可读性与实用性，是生成「哈希层面唯一数字密码」的轻量级标准实践。
