根本原因是thinkphp5默认用think_hash或md5($password.$salt)存储密码，而php8的password_verify只识别$2y$等bcrypt格式，两者哈希结构不同源；查密码字段长度：32位为md5，60位且以$2y$开头才是bcrypt；绝不能将旧密码直接传给password_verify。
ThinkPHP5项目无法在PHP8下验证旧密码的根本原因
ThinkPHP5默认使用自研的think_hash或md5($password.$salt)方式存储密码，而PHP8原生password_verify()只识别$2y$、$2i$等bcrypt哈希格式，两者哈希结构完全不同源，直接调用必然返回false。
查数据库中任意一条用户密码字段：若长度为32位，基本是md5；若为60位且以$2y$或$2i$开头，才是PHP原生password_hash生成的bcrypt哈希。
【绝不能把旧密码字段直接传给password_verify()】——这一步会永远失败，且掩盖真实问题根源。
PHP8环境下兼容TP5旧密码的双轨验证逻辑
登录时必须先判断哈希类型，再分流处理：
方法一：用password_get_info()探测格式
若返回['algo' => 0]，说明是TP5旧格式，走md5($password.$user['salt'])比对；否则走password_verify($password, $user['password'])。
方法二：用字符串前缀直判
检查$user['password']是否以$2y$、$2i$、$2a$开头，是则调用password_verify；否则按TP5规则还原salt后md5比对。
验证通过且确认为旧格式时，立即用password_hash($password, PASSWORD_BCRYPT, ['cost' => 12])生成新哈希并更新数据库——【cost参数必须显式指定，否则PHP8.0+默认cost=10，而PHP5.6可能fallback到不可移植的crypt】。
TP5项目升级到PHP8前必须做的三件事
第一步：确认当前PHP版本运行php -v，若为PHP 8.0+，TP5.1已停止维护，【2025年起不得用于生产环境】。
第二步：打开composer.json，检查"topthink/framework": "^5.1"是否存在，同时确认think-orm版本为v2（TP5不兼容v3）。
第三步：全局搜索项目中所有md5(、sha1(、think_ucenter_md5(调用，逐个替换为双轨验证逻辑，不可保留纯md5校验分支。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
