PHP中$_POST['password']获取的是明文，因浏览器仅前端掩码、提交仍为原始字符串；安全关键在于强制HTTPS、禁用明文记录、立即用password_hash()哈希并存入VARCHAR(255)字段，验证时仅用password_verify()。
PHP 表单不能直接“接收密码框内容”——password 输入框本身不提供特殊传输机制，它只是把用户输入的明文字符串以 name 为键、通过 POST（或 GET，但绝不该用）提交给 PHP；真正的安全关键在于后续怎么处理这个字符串。
为什么 $_POST['password'] 拿到的是明文？
浏览器对 的处理仅限于前端遮掩显示，提交时和 text 框完全一样：原始字符被编码后发往服务器。PHP 收到的 $_POST['password'] 就是用户敲进去的原始字符串（比如 "MyP@ss123"），没有任何加密或哈希。
- 这是设计使然，不是漏洞——服务端必须拿到明文才能做校验或哈希
- 但这也意味着：任何中间环节（HTTP 明文传输、日志误记录、调试输出）都可能泄露密码
-
$_POST中的值和其他表单字段一样，可被恶意修改，绝不能信任其格式或长度
必须强制 HTTPS + 不记录明文密码
如果走 HTTP，密码在传输中就是裸奔；如果 PHP 日志、错误报告、var_dump($_POST) 或数据库 INSERT 语句里直接拼接了 $_POST['password']，等于把密码写进文件或数据库。
- 上线前确认 Web 服务器强制跳转 HTTPS（Nginx/Apache 配置或应用层 301）
- 禁用
error_log()或file_put_contents()记录含$_POST['password']的数组 - 调试时用
unset($_POST['password'])再 dump 其他字段，或只打印gettype()和strlen() - 数据库字段类型设为
VARCHAR(255)（足够存 bcrypt 哈希），绝不用TEXT或更长，避免误导性“预留空间”
收到后立刻哈希，且只用 password_hash()
PHP 自带的 password_hash() 是唯一推荐方式——它默认用 bcrypt，自动加盐、可调成本因子，且未来算法升级兼容 password_verify()。
立即学习“PHP免费学习笔记（深入）”；
$raw = $_POST['password'] ?? '';
if (empty($raw) || strlen($raw) < 8) {
// 拒绝空或过短密码，前端 JS 校验只是辅助，后端必须重验
}
$hash = password_hash($raw, PASSWORD_ARGON2ID, ['memory_cost' => 65536, 'time_cost' => 4, 'threads' => 2]);
// 存 $hash 到数据库，永远丢弃 $raw
- 别用
md5()、sha1()、base64_encode()—— 这些不是哈希，是编码或已被破解的摘要 - 别自己拼 salt：
password_hash()内置随机盐，结果字符串已包含算法、成本、盐和哈希，全长约 97 字符 - 别设固定 cost：本地开发用
PASSWORD_BCRYPT+['cost' => 10]足够；生产环境根据 CPU 调整，但不低于 10
验证登录时只用 password_verify()
查出用户记录后，拿数据库里的哈希值和当前提交的明文密码比对，全程不接触原始密码。
$stmt = $pdo->prepare("SELECT id, password_hash FROM users WHERE email = ?");
$stmt->execute([$email]);
$user = $stmt->fetch();
if ($user && password_verify($_POST['password'], $user['password_hash'])) {
// 登录成功，生成 session，重定向
} else {
// 密码错误（注意：不要提示“用户名错”还是“密码错”，防枚举）
}
- 即使哈希值为空或格式异常，
password_verify()也返回false，不会报错或泄露信息 - 两次调用
password_hash()对同一密码会产出不同字符串（因盐不同），所以绝不能用===比较哈希值 - 若未来需升级哈希算法（如从 bcrypt 切到 Argon2），
password_needs_rehash()可检测并自动更新存储的哈希
真正危险的不是“怎么接收”，而是把明文当普通字符串一样 echo、log、缓存、传参、拼 SQL。只要 $_POST['password'] 在内存中存活超过哈希所需那几毫秒，就多一分风险——处理完立刻 unset() 或让变量自然超出作用域。
