password_hash() 每次生成不同哈希值是正常且安全的设计特性，登录失败通常因误用哈希比对（如 ==）而非 password_verify() 所致；本文详解其工作原理、正确使用流程及常见陷阱。
`password_hash()` 每次生成不同哈希值是正常且安全的设计特性，登录失败通常因误用哈希比对（如 `==`）而非 `password_verify()` 所致；本文详解其工作原理、正确使用流程及常见陷阱。
password_hash() 使用的是加盐（salted）自适应哈希算法（默认为 bcrypt），其核心安全机制之一就是：即使相同明文密码，每次调用也会生成完全不同的哈希字符串。这是因为函数内部会自动随机生成唯一 salt 并将其嵌入最终哈希结果中（例如 "$2y$10$..." 开头的字符串已包含 salt 和配置参数）。因此，直接比较两次 password_hash() 的输出（如 $hash1 === $hash2）永远为 false——这并非 Bug，而是刻意为之的安全保障。
✅ 正确的密码验证方式只有一种：使用 password_verify()。该函数能自动从存储的哈希字符串中提取 salt 和算法参数，并用相同逻辑重新计算并比对，无需开发者干预：
// 注册时：仅哈希一次，存入数据库
$password = $_POST['haslo1'];
$hashedPassword = password_hash($password, PASSWORD_DEFAULT);
// ✅ 安全插入（注意：务必使用预处理语句防止 SQL 注入！）
$stmt = $polaczenie->prepare("INSERT INTO uzytkownicy (nick, pass, email, ...) VALUES (?, ?, ?, ...)");
$stmt->bind_param("ssi...", $nick, $hashedPassword, $email, ...);
$stmt->execute();
// 登录时：从数据库取出原哈希值，用 password_verify 校验
$password = $_POST['haslo'];
$stmt = $polaczenie->prepare("SELECT id, pass FROM uzytkownicy WHERE nick = ?");
$stmt->bind_param("s", $nick);
$stmt->execute();
$result = $stmt->get_result();
$wiersz = $result->fetch_assoc();
if ($wiersz && password_verify($password, $wiersz['pass'])) {
// ✅ 验证通过：密码正确
$_SESSION['logged_in'] = true;
header('Location: dashboard.php');
exit;
} else {
// ❌ 验证失败
$_SESSION['error'] = 'Niepoprawna nazwa użytkownika lub hasło.';
}
⚠️ 关键注意事项：
- 绝不手动比对哈希字符串：$hash1 === $hash2 或 strcmp() 均无效且危险；
- 必须使用预处理语句：你原始代码中直接拼接 $_POST 变量到 SQL 中存在严重 SQL 注入漏洞，务必改用 mysqli_prepare() 或 PDO；
- 字段长度要足够：VARCHAR(255) 是存储 password_hash() 输出的最低推荐长度（bcrypt 最长约 60 字符，但留余量更稳妥）；
- 升级哈希算法：PASSWORD_DEFAULT 未来可能变更算法，建议定期用 password_needs_rehash() 检查并更新旧哈希。
总结：哈希值的“不一致性”是密码学安全的基石。牢记口诀——注册用 password_hash()，登录必用 password_verify()，配合参数化查询，即可构建可靠的身份认证基础。
