本文详解 password_verify() 报错“password not matching hash”的常见原因，重点指出密码哈希生成时机错误（变量未初始化即调用 password_hash()）这一典型陷阱，并提供安全、可复现的注册与登录完整代码示例。
本文详解 `password_verify()` 报错“password not matching hash”的常见原因，重点指出密码哈希生成时机错误（变量未初始化即调用 `password_hash()`）这一典型陷阱，并提供安全、可复现的注册与登录完整代码示例。
在 PHP 用户认证开发中，password_verify($password, $hash) 是验证明文密码是否匹配数据库中 bcrypt 哈希值的标准函数。但开发者常遇到看似密码正确却始终返回 false 的问题——如错误提示 Verify_password() : password not matching hash。根本原因往往不在验证逻辑本身，而在于哈希生成阶段存在隐蔽缺陷。
最典型的错误出现在用户注册/密码存储环节：提前调用了 password_hash()，却在 $arr 数组尚未赋值前就尝试读取 $arr['password']。例如原始代码中：
$password_hash = password_hash($arr['password'], PASSWORD_DEFAULT); // ❌ 错误！$arr 还未初始化 $arr['nom'] = htmlspecialchars($_POST['nom']); $arr['password'] = htmlspecialchars($_POST['password']); // ✅ 此时才赋值
此时 $arr['password'] 为 null 或未定义，password_hash(null, ...) 会生成一个固定、无效的哈希（如 $2y$10$92IXUNpkjO0rOQ5byMi.Ye4oKoEa3Ro9llC/.og/at2.uheWG/igi），导致后续任何真实密码都无法通过 password_verify() 校验。
✅ 正确做法是：先完整提取并过滤 POST 数据，再对有效明文密码进行哈希：
if (!empty($_POST["Submit1"])) {
// 1. 先安全获取并过滤输入
$nom = htmlspecialchars($_POST['nom']);
$plain_password = htmlspecialchars($_POST['password']); // 注意：此处直接取值，避免数组依赖
$rankid = $_POST['rankid'];
// 2. 立即对有效明文密码哈希（关键修正点）
$password_hash = password_hash($plain_password, PASSWORD_DEFAULT);
// 3. 安全插入（使用预处理语句防止SQL注入）
$sql = 'INSERT INTO users (nom, password, rankid) VALUES (:nom, :password, :rankid)';
$statement = $conn->prepare($sql);
$statement->execute([
':nom' => $nom,
':password' => $password_hash,
':rankid' => $rankid
]);
header("Location: process.php");
exit;
}
登录验证端也需确保逻辑严谨：
if ($_POST && !empty($_POST['nom']) && !empty($_POST['password'])) {
$email = $_POST['nom'];
$password = $_POST['password'];
$q = $conn->prepare("SELECT id, password FROM users WHERE nom = :email");
$q->bindParam(':email', $email);
$q->execute();
if ($row = $q->fetch(PDO::FETCH_ASSOC)) {
// ✅ 正确顺序：明文密码在前，哈希值在后
if (password_verify($password, $row['password'])) {
echo 'Login successful!';
// 启动 session，跳转至受保护页面...
} else {
echo 'Invalid credentials.';
}
} else {
echo 'User not found.';
}
}
⚠️ 重要注意事项：
-
永远不要对已哈希的密码再次哈希（如
password_hash($row['password'], ...)），这会导致双重哈希，无法验证； - 数据库字段必须为
VARCHAR(255)或更长（bcrypt 哈希固定长度为 60 字符）； -
password_hash()使用PASSWORD_DEFAULT（当前为 bcrypt），无需手动指定 salt； - 登录时若
password_verify()失败，不要向用户透露具体失败原因（如“密码错误”或“用户名不存在”），应统一提示“用户名或密码错误”，以防用户名枚举攻击。
通过严格遵循“先净化输入 → 再生成哈希 → 最后持久化”的流程，即可彻底规避 password_verify() 匹配失败的问题，构建健壮的密码认证体系。
