直接结论：别自己写，用 ircmaxell/password-compat 兼容库；必须 require_once 或 composer 加载，显式指定 password_bcrypt 与 cost=10，数据库字段至少 varchar(255)，旧密码需双逻辑动态迁移验证。
直接结论：别自己写，用 password_compat
PHP 5.3.7–5.4.x 环境下无法调用 password_hash()，但硬写 crypt($pwd, '$2y$10$' . $salt) 或拼接 MD5+salt 是危险且不可维护的。唯一靠谱做法是引入官方维护的兼容层：ircmaxell/password-compat。它不是“模拟”，而是完整复现 PHP 5.5+ 的 password_hash()、password_verify()、password_needs_rehash() 行为，连哈希格式（如 $2y$10$...）和验证逻辑都严格一致。
安装与加载必须避开两个坑
常见错误是只下载文件却没确认执行顺序，或 Composer 自动加载失效：
- 手动方式：必须在所有业务代码之前
require_once 'lib/password.php';；放在index.php开头最稳妥，不能等到 Model 或 Controller 里才加载 - Composer 方式：运行
composer require ircmaxell/password-compat后，确保已执行composer dump-autoload，且项目入口已包含vendor/autoload.php - 验证是否生效：写一行
var_dump(function_exists('password_hash'));，返回true才算成功
PASSWORD_BCRYPT 而非 PASSWORD_DEFAULT 是兼容性底线
PASSWORD_DEFAULT 在 PHP 7.4+ 可能切换为 Argon2，但 password_compat 里它永远固定为 bcrypt——这看似省心，实则埋雷：一旦未来升级到 PHP 8.2 并启用 Argon2，旧系统生成的哈希仍只能被 bcrypt 验证，导致跨版本验证断裂。所以必须显式指定：
将 LaTeX（.tex）学术论文转换为 Word（.docx），支持可编辑的 OMML 公式、原生 Word 表格、嵌入图形、IEEE 双栏排版及参考文献
- 统一用
PASSWORD_BCRYPT，确保所有环境输出都是$2y$开头的 60 字符字符串 -
cost参数别设太高：PHP 5.3–5.4 的crypt()实现对高 cost 敏感，['cost' => 12]在某些旧内核（如 CentOS 6 默认 glibc）可能超时；推荐['cost' => 10] - 数据库字段长度至少设为
VARCHAR(255)：bcrypt 哈希固定 60 字符，但留余量防未来算法变更或误操作截断
旧密码迁移必须双逻辑并存，不能一刀切
直接把数据库里所有 MD5 密码替换成 password_hash() 结果，用户下次登录必然失败——因为旧密码没重输，新哈希根本没生成。正确路径是验证时动态识别：
- 先用
password_get_info($stored_hash)['algo']判断：返回0表示非标准哈希（大概率是 MD5/SHA1），返回1表示 bcrypt - 非标准哈希走旧逻辑验证（如
md5($pwd . $salt)），成功后立即用password_hash($pwd, PASSWORD_BCRYPT, ['cost' => 10])生成新哈希并更新数据库 - 注意：不要在验证失败时尝试 fallback，只在成功后升级；否则攻击者可利用时间差探测哈希类型
最易被忽略的是数据库字段长度变更——MD5 是 32 字符，bcrypt 是 60，如果字段仍是 VARCHAR(32)，MySQL 会静默截断，存进去的哈希永远验不上。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
