PHP password_hash() и password_verify(): хранение паролей

Храните пароли через password_hash($password, PASSWORD_DEFAULT) и проверяйте вход через password_verify($password, $hash), которая возвращает true или false. Никогда не храните сам пароль и никогда не используйте для него md5() или sha1().

<?php
$hash = password_hash('correct horse battery staple', PASSWORD_DEFAULT);
echo $hash, "\n";

var_dump(password_verify('correct horse battery staple', $hash));
var_dump(password_verify('Correct horse battery staple', $hash));

Запустите дважды: хеш каждый раз другой, и обе версии проходят проверку. То же относится к каждому хешу на этой странице, поэтому ваш вывод не совпадёт ни с чьим другим.

Вход через password_verify

Вход проверяет отправленный пароль по хешу, сохранённому при создании аккаунта. Этот блок "регистрирует" одного пользователя, а потом показывает форму входа; попробуйте правильный пароль (hunter2), потом неправильный.

<?php
// The users table: one row, hashed when the account was created
$users = ['ada@example.com' => password_hash('hunter2', PASSWORD_DEFAULT)];

$email = trim((string) ($_POST['email'] ?? 'ada@example.com'));
$message = '';

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $hash = $users[$email] ?? null;
    if ($hash !== null && password_verify((string) ($_POST['password'] ?? ''), $hash)) {
        $message = 'Welcome back, ' . htmlspecialchars($email) . '.';
    } else {
        $message = 'Wrong email or password.';
    }
}
?>
<form method="post">
  <input name="email" value="<?= htmlspecialchars($email) ?>">
  <input name="password" type="password" placeholder="Password">
  <button>Log in</button>
</form>
<p><?= $message ?></p>

Сообщение об ошибке одинаково для неизвестного email и неверного пароля. Если сказать, что именно не так, атакующий узнает, у каких email есть аккаунты. После успешного входа настоящий сайт сохраняет ID пользователя в сессии, как показано на странице о сессиях.

Что внутри хеша

Хеш bcrypt это одна строка, в которой есть всё, что нужно password_verify(): алгоритм, cost и соль, а за ними сам хеш. password_get_info() читает первые части обратно.

<?php
$hash = password_hash('secret', PASSWORD_DEFAULT);
echo $hash, "\n";
echo strlen($hash), " characters\n\n";

[, $algo, $cost, $rest] = explode('$', $hash);
echo "algorithm: $algo (bcrypt)\n";
echo "cost:      $cost\n";
echo 'salt:      ', substr($rest, 0, 22), "\n";
echo 'hash:      ', substr($rest, 22), "\n\n";

print_r(password_get_info($hash));

Поскольку соль хранится в хеше, нужен только один столбец в базе данных, а два пользователя с одинаковым паролем всё равно получают разные хеши. Делайте этот столбец VARCHAR(255): bcrypt занимает 60 символов, но PASSWORD_DEFAULT может смениться на алгоритм с более длинным результатом.

Выбор cost

Cost определяет, насколько намеренно медленно вычисляется каждый хеш, и каждый шаг вверх удваивает работу. PHP 8.3 использует для bcrypt cost 10 (PHP 8.4 поднял значение по умолчанию до 12). Вход должен тратить на хеширование примерно от 100 до 300 мс; замерьте на своём сервере:

<?php
foreach ([10, 11, 12] as $cost) {
    $start = hrtime(true);
    password_hash('secret', PASSWORD_BCRYPT, ['cost' => $cost]);
    printf("cost %d: %.0f ms\n", $cost, (hrtime(true) - $start) / 1e6);
}

Числа зависят от машины, но каждая строка должна быть примерно вдвое больше предыдущей. Больше значит надёжнее против взлома и медленнее для каждого входа, поэтому выбирайте самый высокий cost, который может себе позволить ваша страница входа.

Обновление старых хешей через password_needs_rehash

Когда вы повышаете cost или PHP меняет PASSWORD_DEFAULT, существующие хеши продолжают работать, а password_needs_rehash() сообщает, какие устарели. Пароль в открытом виде у вас есть только в момент входа, поэтому обновляют именно там:

<?php
$options = ['cost' => 12];

// A hash created years ago with cost 10
$stored = password_hash('hunter2', PASSWORD_DEFAULT, ['cost' => 10]);
echo 'stored: ', substr($stored, 0, 7), "...\n";

$input = 'hunter2';
if (password_verify($input, $stored)) {
    if (password_needs_rehash($stored, PASSWORD_DEFAULT, $options)) {
        $stored = password_hash($input, PASSWORD_DEFAULT, $options);
        echo "Rehashed and saved: ", substr($stored, 0, 7), "...\n";
    }
    echo "Logged in.\n";
}

var_dump(password_needs_rehash($stored, PASSWORD_DEFAULT, $options));

Префикс $2y$10$ становится $2y$12$, и при следующем входе password_needs_rehash() возвращает false.

Никогда не используйте md5 или sha1 для паролей

md5() и sha1() это быстрые хеши общего назначения без соли. Быстрота как раз плоха для паролей: атакующий с утёкшей таблицей может перебирать миллиарды вариантов в секунду на GPU, а хеш без соли от распространённого пароля уже есть в публичных таблицах поиска. Сравните скорость:

<?php
echo md5('password'), "\n";       // the same on every server, forever

$start = hrtime(true);
for ($i = 0; $i < 100000; $i++) {
    md5("password$i");
}
printf("100,000 md5 hashes: %.0f ms\n", (hrtime(true) - $start) / 1e6);

$start = hrtime(true);
password_hash('password', PASSWORD_DEFAULT);
printf("1 password_hash:    %.0f ms\n", (hrtime(true) - $start) / 1e6);

За время, пока password_hash() делает один хеш, md5 делает сотни тысяч, поэтому каждая попытка взломщика во столько же раз дешевле. Поищите 5f4dcc3b5aa765d61d8327deb882cf99, и вы сразу найдёте слово "password".

Если вам досталась таблица хешей md5, преобразовать их напрямую нельзя. Вместо этого оберните их: храните password_hash($oldMd5) и проверяйте через password_verify(md5($input), $stored), а затем заменяйте каждый обычным хешем при следующем входе этого пользователя.

Argon2id и лимит в 72 байта

PASSWORD_ARGON2ID тратит больше памяти на хеш, и это делает взлом на GPU гораздо дороже. Он доступен, когда PHP собран с libargon2 (так собрано большинство пакетов Linux); проверьте через defined('PASSWORD_ARGON2ID').

<?php
if (defined('PASSWORD_ARGON2ID')) {
    $hash = password_hash('secret', PASSWORD_ARGON2ID);
    echo $hash, "\n";
    var_dump(password_verify('secret', $hash));
}

// bcrypt only looks at the first 72 bytes of the password
$a = str_repeat('a', 72) . 'X';
$b = str_repeat('a', 72) . 'Y';
var_dump(password_verify($b, password_hash($a, PASSWORD_BCRYPT)));

Последняя строка выводит bool(true): два разных пароля совпадают, потому что bcrypt игнорирует всё после 72-го байта. Реальные пароли редко до этого доходят, но парольные фразы на японском или других многобайтовых письменностях достигают 72 байтов примерно на 24 символах. Если вы разрешаете очень длинные пароли, используйте Argon2id, у которого такого лимита нет. password_verify() работает с обоими алгоритмами, поэтому переключиться можно через password_needs_rehash(), как показано выше.