php如何加密密码_php加密密码password_hash法【加密】-php教程-PHP中文网

password_hash()是PHP中唯一推荐的密码加密方案，它自动加盐、选算法、抗暴力破解；而md5()和sha1()因无盐、过快、易被彩虹表攻击，绝不适用于密码存储。

php如何加密密码_php加密密码password_hash法【加密】

PHP 里加密密码，password_hash() 是唯一推荐的方案——它自动选型、加盐、抗暴力，不手动管理 salt，也不用纠结算法细节。

为什么不用 md5() 或 sha1() 加密密码

这些是哈希函数，不是密码哈希函数。它们快、无盐、可被彩虹表批量破解，md5('password123') 在毫秒级就能被撞库还原。

md5() 和 sha1() 已被明确标记为不适用于密码存储
即使加了固定 salt（比如 md5($salt . $pass)），salt 不随机、不唯一，依然脆弱
没有内置成本因子（cost），无法随硬件升级延缓暴力速度

password_hash() 的三种常用算法参数

默认用 PASSWORD_ARGON2ID（PHP 7.2+）或 PASSWORD_DEFAULT（当前 PHP 版本默认算法），但生产环境建议显式指定并固定：

password_hash('myPass', PASSWORD_ARGON2ID, [
    'memory_cost' => 65536, // 64MB
    'time_cost'   => 4,
    'threads'     => 3
]);
password_hash('myPass', PASSWORD_BCRYPT, ['cost' => 12]);
password_hash('myPass', PASSWORD_DEFAULT); // ⚠️ 升级 PHP 后 hash 格式可能变，验证需兼容

PASSWORD_BCRYPT 最广泛兼容，输出始终 60 字符，支持 cost 4–31
PASSWORD_ARGON2ID 更抗 GPU/ASIC 暴力，但需系统装好 argon2 扩展且 PHP ≥ 7.2
永远别传 '' 或 null 当 password —— password_hash(null, ...) 返回 false，但不会报错

验证密码必须用 password_verify()，不能 strcmp() 或 ===

password_hash() 每次输出都不同（因随机 salt），所以绝不能用字符串比较。正确方式只有：

SEO Keyword Density

SEO关键词密度优化与页面审计技能。使用场景：①提供页面路径与关键词进行SEO优化；②提升页面关键词密度；③提升搜索引擎排名；④进行SEO审计（meta标签、OG、hreflang等）。触发词：关键词密度、SEO优化、关键词优化等。

下载

$hash = '$2y$10$92IXUNpkjO0rOQ5byMi.Ye4oKoEa3Ro9llC/.og/at2.uheWG/igi'; // 来自数据库
if (password_verify('password123', $hash)) {
    echo '登录成功';
} else {
    echo '密码错误';
}

password_verify() 会自动提取 salt 和参数，重算比对，恒定时间比较防时序攻击
传入空字符串、null 或格式错误 hash（如长度不对）会直接返回 false，不会警告
若数据库存的是旧 hash（如 md5），不能“升级验证逻辑”，得等用户下次登录再用 password_needs_rehash() 迁移

迁移旧密码时用 password_needs_rehash() 判断是否要更新

当调整 cost、换算法或 PHP 升级后，默认算法变了，已存的 hash 可能不够强。每次登录成功后检查：

if (password_verify($input, $storedHash) && password_needs_rehash($storedHash, PASSWORD_ARGON2ID, $options)) {
    $newHash = password_hash($input, PASSWORD_ARGON2ID, $options);
    // 写回数据库
}