PHP中的密码哈希：如何安全存储用户密码-php教程-PHP中文网

PHP中的密码哈希：如何安全存储用户密码

冰火之心

发布： 2025-07-01 17:39:01

原创

338人浏览过

保护用户密码安全应使用php的password_hash()和password_verify()函数。1. 选择哈希算法时，默认使用bcrypt，若环境支持php 7.2+可选更安全的argon2i；2. 使用password_hash()生成哈希值，password_verify()验证密码，无需手动处理盐值；3. 通过password_needs_rehash()检测是否需升级哈希算法，确保密码持续安全；4. 配合https、防sql注入、登录尝试限制、强密码策略及双因素认证等措施增强整体安全性。

PHP中的密码哈希：如何安全存储用户密码

保护用户密码安全，关键在于使用正确的哈希方法。PHP提供了强大的内置函数，例如password_hash()和password_verify()，它们是安全存储密码的首选。不要再使用过时的md5()或sha1()，它们早已被破解。

使用password_hash()和password_verify()进行密码哈希处理

如何选择合适的密码哈希算法？

PHP的password_hash()函数默认使用bcrypt算法，这通常是一个不错的选择。bcrypt以其强大的安全性而闻名，并且可以调整“成本因子”来增加哈希计算的复杂度，从而抵御暴力破解攻击。不过，PHP 7.2及更高版本还支持Argon2i，它被认为是更现代、更安全的算法。如果你的服务器环境允许，Argon2i会是更好的选择。选择时，要考虑服务器的性能，因为更高的成本因子会增加服务器的负担。

立即学习“PHP免费学习笔记（深入）”；

如何正确使用password_hash()和password_verify()？

password_hash()函数用于创建密码的哈希值。以下是一个例子：

$password = "P@sswOrd123";
$hashedPassword = password_hash($password, PASSWORD_DEFAULT);

echo $hashedPassword; // 输出类似 $2y$10$abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789

登录后复制

PASSWORD_DEFAULT常量会使用当前PHP版本中最强的哈希算法（通常是bcrypt）。如果你想使用Argon2i，可以这样写：

$options = ['cost' => 12]; // 调整成本因子
$hashedPassword = password_hash($password, PASSWORD_ARGON2I, $options);

登录后复制

password_verify()函数用于验证用户输入的密码是否与存储的哈希值匹配：

$password = "P@sswOrd123";
$hashedPassword = '$2y$10$abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789'; // 假设这是从数据库取出的哈希值

if (password_verify($password, $hashedPassword)) {
    echo "密码验证成功！";
} else {
    echo "密码验证失败！";
}

登录后复制

重要的是，password_verify()会自动处理哈希算法和盐值，无需手动提取或比较。

如何处理密码哈希的升级？

随着技术的发展，旧的哈希算法可能会变得不安全。因此，定期升级密码哈希算法至关重要。password_needs_rehash()函数可以帮助你判断是否需要重新哈希密码：

$hashedPassword = '$2y$10$abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789';

if (password_needs_rehash($hashedPassword, PASSWORD_DEFAULT)) {
    $newHashedPassword = password_hash($password, PASSWORD_DEFAULT);
    // 更新数据库中的哈希值
}

登录后复制

当用户登录时，检查他们的密码是否需要重新哈希。如果需要，重新哈希密码并更新数据库。这可以确保所有密码都使用最新的、最安全的算法。