ThinkPHP6如何修改器加密密码_ThinkPHP6修改器加密密码实现【安全】-ThinkPHP-PHP中文网

tp6中密码入库前自动哈希的唯一可控入口是setpasswordattr，命名须严格为set+字段名首字母大写+attr，仅在save()/create()中触发，必须判空并用password_hash()（推荐password_argon2id或password_default），禁用md5、sha1及crypt。

thinkphp6如何修改器加密密码_thinkphp6修改器加密密码实现【安全】

TP6 的 setPasswordAttr 是密码入库前自动哈希的唯一可控入口，但写错命名、漏判空、用错算法，都会导致加密失效或入库报错。

setPasswordAttr 命名必须严格匹配字段名 + 首字母大写 + Attr

数据库字段叫 password，方法名就必须是 setPasswordAttr，不是 _setPasswordAttr，也不是 set_password_attr。ThinkPHP 6+ 已完全弃用旧版的 _setAttr 写法，模型继承 think\Model 后，只有这种驼峰式命名才能被识别为修改器。

常见错误现象：

字段是 user_pwd，却写了 setUser_pwdAttr → 不触发
字段是 pass_word，写了 setPassWordAttr → 实际应为 setPassWordAttr（下划线后首字母仍需大写）
模型继承了 think\db\Model 而非 think\Model → 修改器直接被忽略

只在 save() / create() 中生效，data() 或数组 update 会绕过

修改器逻辑只在模型调用 save()、create()、allowField()->save() 等完整写入流程中执行。以下操作不会触发 setPasswordAttr：

$user->data(['password' => '123'])->save()
User::update(['id' => 1, 'password' => '123'])
$user->password = '123'; $user->save();（注意：这是赋值后 save，会触发；但若中间调了 data() 就可能中断）

所以别依赖“赋值即加密”，务必确认走的是模型实例的 save() 流程。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

password_hash() 是唯一推荐方案，别用 md5、sha1 或裸调 Crypt

明文密码必须用 password_hash() 哈希，且必须判空：

public function setPasswordAttr($value)
{
    return $value ? password_hash($value, PASSWORD_ARGON2ID) : null;
}

关键点：

password_hash(null, ...) 返回 false，会导致字段写入失败，所以必须 if ($value) 判空
PASSWORD_ARGON2ID 需 PHP ≥ 7.3 且开启 sodium 扩展；若环境不支持，退用 PASSWORD_DEFAULT（当前等价于 bcrypt）
think\facade\Crypt 是对称加解密，不适用于密码存储——它可逆，而密码必须不可逆
md5() 和 sha1() 已被证实不安全，且无盐、无迭代，绝对禁用