.jpg)
使用php實(shí)現(xiàn)密碼安全存儲的關(guān)鍵是使用password_hash()和password_verify()等函數(shù)。1. 使用password_hash()替代md5或sha系列算法，因其默認(rèn)采用bcrypt并自動加鹽及調(diào)整計(jì)算強(qiáng)度；2. 用password_verify()驗(yàn)證密碼，無需手動判斷算法和salt；3. 可通過password_needs_rehash()定期升級哈希算法以提升安全性；4. 存儲時(shí)確保數(shù)據(jù)庫字段長度足夠，建議使用varchar(255)以避免截?cái)鄦栴}。這些步驟能有效防止密碼泄露和破解風(fēng)險(xiǎn)。
在開發(fā)涉及用戶登錄的系統(tǒng)時(shí)，密碼安全是不能忽視的一環(huán)。PHP作為廣泛應(yīng)用的后端語言，提供了一些內(nèi)置函數(shù)來幫助開發(fā)者實(shí)現(xiàn)更安全的密碼存儲方式。核心方法就是使用密碼哈希（hashing）而不是加密（encryption），因?yàn)楣Ｊ菃蜗虿豢赡娴?，能有效防止?shù)據(jù)泄露后的反推風(fēng)險(xiǎn)。
以下是幾個(gè)關(guān)鍵點(diǎn)和建議，幫助你在PHP中正確地實(shí)現(xiàn)密碼哈希。
1. 使用 password_hash() 而不是 MD5 或 SHA 系列
很多老項(xiàng)目還在用 md5() 或 sha1() 來處理密碼，但這些算法早已不安全，容易受到彩虹表攻擊和暴力破解。
立即學(xué)習(xí)“PHP免費(fèi)學(xué)習(xí)筆記（深入）”；
PHP 提供了專門用于密碼哈希的函數(shù)：password_hash()，它默認(rèn)使用的是 bcrypt 算法（也可以選擇其他算法如 sodium），不僅加鹽（salt）自動生成，還能根據(jù)硬件性能調(diào)整計(jì)算強(qiáng)度。
$hashedPassword = password_hash($plainPassword, PASSWORD_DEFAULT);
- PASSWORD_DEFAULT 會自動選擇當(dāng)前最安全的算法。
- 不需要自己生成 salt，系統(tǒng)會自動處理。
小提示：不要試圖“優(yōu)化”這個(gè)過程，比如手動拼接 salt，這反而可能引入安全漏洞。
2. 驗(yàn)證密碼用 password_verify()
當(dāng)你需要驗(yàn)證用戶輸入的密碼是否正確時(shí)，使用 password_verify() 函數(shù)是最安全的方式。
if (password_verify($inputPassword, $storedHash)) { // 密碼正確 } else { // 密碼錯(cuò)誤 }
這個(gè)函數(shù)會自動識別出使用的算法、salt 和 hash 的格式，不需要你做額外判斷。
注意：即使數(shù)據(jù)庫中保存的是 hash 值，也請始終使用這個(gè)函數(shù)來驗(yàn)證，不要嘗試“重新 hash 再比對”。
3. 定期更新哈希算法（可選）
如果你擔(dān)心未來 bcrypt 被攻破，或者想升級到更高強(qiáng)度的算法（比如 argon2），可以配合 password_needs_rehash() 使用。
if (password_needs_rehash($storedHash, PASSWORD_ARGON2ID)) { $newHash = password_hash($plainPassword, PASSWORD_ARGON2ID); // 更新數(shù)據(jù)庫中的 hash }
這種方式可以在用戶下次登錄時(shí)自動升級他們的密碼 hash，而不會影響現(xiàn)有流程。
4. 存儲長度要足夠
當(dāng)你在數(shù)據(jù)庫中存儲 password_hash() 的結(jié)果時(shí)，要注意字段長度。它的輸出通常是 60 字符左右，所以數(shù)據(jù)庫字段至少要是 CHAR(60) 或者更穩(wěn)妥的 VARCHAR(255)。
別為了節(jié)省空間而截?cái)?，否則會導(dǎo)致 hash 失效，驗(yàn)證失敗。
基本上就這些。實(shí)現(xiàn)起來并不復(fù)雜，但每一步都很關(guān)鍵。只要用對函數(shù)，就能避免大部分常見的密碼安全問題。
.png)
