PHP password_hash() 和 password_verify()：存储密码

用 password_hash($password, PASSWORD_DEFAULT) 存储密码，用 password_verify($password, $hash) 校验登录，它返回 true 或 false。永远不要存储密码本身，也永远不要用 md5() 或 sha1() 处理密码。

<?php
$hash = password_hash('correct horse battery staple', PASSWORD_DEFAULT);
echo $hash, "\n";

var_dump(password_verify('correct horse battery staple', $hash));
var_dump(password_verify('Correct horse battery staple', $hash));

运行两次：每次的哈希都不同，但两个版本都能通过校验。本页所有的哈希都是如此，所以你的输出不会和别人的一样。

用 password_verify 实现登录

登录就是拿用户提交的密码，与创建账号时保存的哈希进行比对。下面的代码先“注册”一个用户，然后显示一个登录表单；先试试正确的密码（hunter2），再试一个错误的。

<?php
// The users table: one row, hashed when the account was created
$users = ['ada@example.com' => password_hash('hunter2', PASSWORD_DEFAULT)];

$email = trim((string) ($_POST['email'] ?? 'ada@example.com'));
$message = '';

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $hash = $users[$email] ?? null;
    if ($hash !== null && password_verify((string) ($_POST['password'] ?? ''), $hash)) {
        $message = 'Welcome back, ' . htmlspecialchars($email) . '.';
    } else {
        $message = 'Wrong email or password.';
    }
}
?>
<form method="post">
  <input name="email" value="<?= htmlspecialchars($email) ?>">
  <input name="password" type="password" placeholder="Password">
  <button>Log in</button>
</form>
<p><?= $message ?></p>

邮箱不存在和密码错误时，错误提示是一样的。如果说出具体是哪一个错了，攻击者就能知道哪些邮箱注册过账号。登录成功后，真实的网站会把用户 id 存进会话，见会话页面。

哈希里有什么

一个 bcrypt 哈希就是一个字符串，里面包含 password_verify() 所需的一切：算法、cost 和盐，后面跟着哈希值本身。password_get_info() 可以读出前面几部分。

<?php
$hash = password_hash('secret', PASSWORD_DEFAULT);
echo $hash, "\n";
echo strlen($hash), " characters\n\n";

[, $algo, $cost, $rest] = explode('$', $hash);
echo "algorithm: $algo (bcrypt)\n";
echo "cost:      $cost\n";
echo 'salt:      ', substr($rest, 0, 22), "\n";
echo 'hash:      ', substr($rest, 22), "\n\n";

print_r(password_get_info($hash));

因为盐存储在哈希中，所以数据库里只需要一列，而且两个密码相同的用户得到的哈希也不同。把这一列设为 VARCHAR(255)：bcrypt 是 60 个字符，但 PASSWORD_DEFAULT 可能会换成输出更长的算法。

选择 cost

cost 决定每次哈希故意要慢到什么程度，每增加 1，工作量就翻一倍。PHP 8.3 中 bcrypt 的 cost 为 10（PHP 8.4 把默认值提高到了 12）。一次登录的哈希计算大约应花 100 到 300 毫秒；在你自己的服务器上测一下时间：

<?php
foreach ([10, 11, 12] as $cost) {
    $start = hrtime(true);
    password_hash('secret', PASSWORD_BCRYPT, ['cost' => $cost]);
    printf("cost %d: %.0f ms\n", $cost, (hrtime(true) - $start) / 1e6);
}

具体数字取决于机器，但每一行应该大约是上一行的两倍。cost 越高越能抵御破解，但每次登录也越慢，所以选择你的登录页面承受得起的最高 cost。

用 password_needs_rehash 升级旧哈希

当你提高 cost，或者 PHP 更改了 PASSWORD_DEFAULT 时，已有的哈希仍然可用，而 password_needs_rehash() 会告诉你哪些已经过时。只有在登录时你才拿得到明文密码，所以就在那里升级：

<?php
$options = ['cost' => 12];

// A hash created years ago with cost 10
$stored = password_hash('hunter2', PASSWORD_DEFAULT, ['cost' => 10]);
echo 'stored: ', substr($stored, 0, 7), "...\n";

$input = 'hunter2';
if (password_verify($input, $stored)) {
    if (password_needs_rehash($stored, PASSWORD_DEFAULT, $options)) {
        $stored = password_hash($input, PASSWORD_DEFAULT, $options);
        echo "Rehashed and saved: ", substr($stored, 0, 7), "...\n";
    }
    echo "Logged in.\n";
}

var_dump(password_needs_rehash($stored, PASSWORD_DEFAULT, $options));

前缀 $2y$10$ 变成了 $2y$12$，下次登录时 password_needs_rehash() 会返回 false。

永远不要用 md5 或 sha1 存密码

md5() 和 sha1() 是速度很快的通用哈希，而且不加盐。对密码来说，快恰恰是错的：拿到泄露数据表的攻击者可以用 GPU 每秒尝试数十亿次猜测，而常见密码不加盐的哈希早就在公开的查询表里了。比较一下速度：

<?php
echo md5('password'), "\n";       // the same on every server, forever

$start = hrtime(true);
for ($i = 0; $i < 100000; $i++) {
    md5("password$i");
}
printf("100,000 md5 hashes: %.0f ms\n", (hrtime(true) - $start) / 1e6);

$start = hrtime(true);
password_hash('password', PASSWORD_DEFAULT);
printf("1 password_hash:    %.0f ms\n", (hrtime(true) - $start) / 1e6);

password_hash() 生成一个哈希的时间里，md5 能生成几十万个，所以破解者的每次猜测都便宜了同样多倍。搜索 5f4dcc3b5aa765d61d8327deb882cf99，你立刻就能找到单词“password”。哈希生成器每次都会把“password”变成同一个 md5。

如果你接手了一张存着 md5 哈希的表，没法直接转换它们。可以把它们包一层：存储 password_hash($oldMd5)，用 password_verify(md5($input), $stored) 校验，然后在每个用户下次登录时换成正常的哈希。

Argon2id 和 72 字节限制

PASSWORD_ARGON2ID 每次哈希使用更多内存，这让 GPU 破解的成本高得多。PHP 构建时带有 libargon2 就可以使用它（大多数 Linux 软件包都带）；用 defined('PASSWORD_ARGON2ID') 检查。

<?php
if (defined('PASSWORD_ARGON2ID')) {
    $hash = password_hash('secret', PASSWORD_ARGON2ID);
    echo $hash, "\n";
    var_dump(password_verify('secret', $hash));
}

// bcrypt only looks at the first 72 bytes of the password
$a = str_repeat('a', 72) . 'X';
$b = str_repeat('a', 72) . 'Y';
var_dump(password_verify($b, password_hash($a, PASSWORD_BCRYPT)));

最后一行输出 bool(true)：两个不同的密码匹配上了，因为 bcrypt 会忽略第 72 个字节之后的所有内容。真实的密码很少有这么长，但用日语、中文等多字节文字写的口令，大约 24 个字符就到 72 字节了。如果你允许很长的密码，就用 Argon2id，它没有这个限制。password_verify() 两种算法都支持，所以你可以像上面那样用 password_needs_rehash() 切换。