php 8.3 默认仍为 bcrypt，未切换至 argon2id；需显式指定参数并验证环境支持，且数据库字段须扩展至 varchar(255) utf8mb4，升级哈希应依赖 password_needs_rehash() 判断。
PHP 8.3 默认仍用 PASSWORD_DEFAULT，它目前指向 bcrypt（不是 Argon2ID），除非你显式指定且环境支持——别被“8.3 加强了 Argon2 支持”这种说法带偏，实际行为没变。
为什么 PHP 8.3 还不默认用 Argon2ID
Argon2ID 确实是 NIST 推荐标准，但 PASSWORD_DEFAULT 的切换需兼顾向后兼容和广泛部署环境。截至 2026 年 5 月，绝大多数生产环境（包括主流 Docker 镜像、云托管 PHP 运行时）仍未默认启用 libsodium 或内核级 Argon2 支持。PHP 官方选择继续以 bcrypt 为 fallback 安全基线。
验证方式很简单：
- 运行
var_dump(PASSWORD_DEFAULT === PASSWORD_BCRYPT);—— 在 PHP 8.3 下大概率输出bool(true) - 检查
defined('PASSWORD_ARGON2ID')和function_exists('sodium_crypto_pwhash_str')才能确认 Argon2 可用 - 即使定义了
PASSWORD_ARGON2ID，若系统内存不足或未加载 Sodium 扩展，password_hash()仍会返回false
显式用 Argon2ID 必须手动传参并压测
想在 PHP 8.3 里真正用上 Argon2ID，不能只写 password_hash($pwd, PASSWORD_ARGON2ID)，必须带完整选项，并提前验证资源承受力：
-
memory_cost默认 65536（64MB），在低配容器或共享主机上极易触发 OOM，上线前务必用memory_get_usage()+ 模拟并发调用压测 -
time_cost默认 4，但现代 CPU 上单次哈希可能耗时 100–300ms，登录接口响应延迟会明显升高 -
threads设为 1–3 较稳妥；设为 >3 在多数 Linux 环境下无加速效果，反而增加调度开销 - 示例安全调用：
password_hash($pwd, PASSWORD_ARGON2ID, ['memory_cost' => 32768, 'time_cost' => 3, 'threads' => 2])
数据库字段长度不够会静默破坏验证
很多人把 password_hash() 返回值存进 VARCHAR(60) 或 CHAR(60) 字段，这在 bcrypt 下看似够用，但一旦切换到 Argon2ID，哈希长度轻松突破 190 字符——截断后 password_verify() 必然失败，且错误不报在函数层面，而是“密码错误”这种误导性提示。
- 必须用
VARCHAR(255)或更长，且字段字符集设为utf8mb4（防 emoji 等四字节字符损坏） - MySQL 连接初始化时要执行
SET NAMES utf8mb4，否则客户端传输阶段就可能丢字节 - 读取哈希值时禁止任何字符串处理：
trim()、stripslashes()、urldecode()全部禁用
password_needs_rehash() 是升级旧哈希的唯一可靠依据
PHP 升级后（比如从 8.2 到 8.3），PASSWORD_DEFAULT 对应的算法或成本参数可能变化。但你不该靠“版本号判断”，而应依赖 password_needs_rehash() 在每次成功验证后检查：
- 它内部解析存储的哈希头（如
$2y$或$argon2id$），比对当前PASSWORD_DEFAULT的推荐配置 - 仅当返回
true时，才用新哈希覆盖数据库原值；否则跳过，避免无谓写入 - 这个函数不关心你是 bcrypt 还是 Argon2，也不要求你记住各版本默认 cost 值——它只回答一个问题：“这串哈希现在还够安全吗？”
最常被忽略的是：这个判断必须放在 password_verify() 成功之后，而不是之前；而且不能省略——哪怕你刚用 8.3 部署新系统，未来某次 PHP 小版本更新也可能悄悄提升默认强度。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
