PHP 中如何存储和处理密码？

推荐答案

在 PHP 中，存储和处理密码的最佳实践是使用 password_hash() 函数进行密码哈希，并使用 password_verify() 函数进行密码验证。

密码哈希

$password = 'user_password';
$hashedPassword = password_hash($password, PASSWORD_DEFAULT);

密码验证

$userInputPassword = 'user_input_password';
if (password_verify($userInputPassword, $hashedPassword)) {
    echo 'Password is valid!';
} else {
    echo 'Invalid password.';
}

本题详细解读

1. 密码哈希

在 PHP 中，password_hash() 函数用于生成密码的哈希值。它使用了一种安全的哈希算法（如 bcrypt），并且会自动生成一个随机的盐值（salt），从而确保即使两个用户使用相同的密码，生成的哈希值也会不同。

• PASSWORD_DEFAULT：这是推荐的算法，它会随着 PHP 版本的更新而自动选择当前最安全的算法。
• PASSWORD_BCRYPT：使用 bcrypt 算法生成哈希值。

2. 密码验证

password_verify() 函数用于验证用户输入的密码是否与存储的哈希值匹配。它会自动处理哈希值中的盐值，并返回一个布尔值表示验证结果。

3. 密码存储

存储密码时，应该将哈希值存储在数据库中，而不是明文密码。这样即使数据库被泄露，攻击者也无法轻易获取用户的原始密码。

4. 密码更新

如果 PHP 版本更新或安全需求变化，可以使用 password_needs_rehash() 函数检查是否需要重新哈希密码。

if (password_needs_rehash($hashedPassword, PASSWORD_DEFAULT)) {
    $newHashedPassword = password_hash($password, PASSWORD_DEFAULT);
    // 更新数据库中的哈希值
}

5. 安全性

• 盐值：password_hash() 会自动生成盐值，无需手动处理。
• 成本因子：可以通过 password_hash() 的第三个参数调整哈希计算的成本因子，以增加计算复杂度。

$options = [
    'cost' => 12,
];
$hashedPassword = password_hash($password, PASSWORD_DEFAULT, $options);

通过以上方法，可以确保 PHP 应用程序中的密码存储和处理是安全的。