本文介绍一种高效、安全的方法，用于生成不与数据库中已存密码哈希冲突的随机5位数字（10000–99999），并使用 password_verify() 进行校验，避免重复。代码简洁可靠，适用于用户临时登录码、otp 或轻量级凭证场景。
在实际开发中，有时需要为用户生成一个不可预测、唯一且可验证的短数字密码（如5位验证码），并将其以哈希形式（如 bcrypt）安全存储于数据库中。关键挑战在于：新生成的明文数字不能被任一现有哈希成功验证——即 password_verify($candidate, $stored_hash) 对所有已存哈希都必须返回 false。
原代码存在多个逻辑缺陷：
- 内层 do-while 循环嵌套在 foreach 中，导致每次仅对单个哈希校验，且未跳出全部校验流程；
- rand(0,4) 生成的是 0–4 的一位数，而非题目要求的 5位数字（10000–99999）；
- check() 函数设计冗余，且未聚合全部哈希的校验结果。
以下是优化后的正确实现：
function createLoginPassword(): int
{
// 模拟从数据库查询出的所有已哈希密码（实际应通过 PDO/MySQLi 查询）
$storedHashes = [
'$2y$10$gPenW2YPLzoZOKb/PZ8SC.UFh6C0cLALoO11x/8hjP3GeefMJ6sOu', // 哈希自某5位数（如 12345）
'$2y$10$iOOmAx4kJLNP5H91tfoaz.SarIA1byrUgEE8rtt9llqth5l4v5ACC', // 哈希自另一5位数（如 67890）
];
do {
// 严格生成 5 位数字：10000 ~ 99999
$candidate = random_int(10000, 99999);
// 检查是否与任一已存哈希匹配
$isDuplicate = array_reduce($storedHashes, function ($carry, $hash) use ($candidate) {
return $carry || password_verify((string)$candidate, $hash);
}, false);
} while ($isDuplicate);
return $candidate;
}
// 使用示例
$otp = createLoginPassword();
echo "生成的唯一5位密码: " . $otp . "\n";
// 后续应使用 password_hash() 存储该密码（如需长期验证）或直接发送给用户✅ 关键改进说明：
- 使用 random_int() 替代 rand()，提升密码学安全性（防预测）；
- array_reduce() 遍历全部哈希，确保候选数字不匹配任何一条记录；
- 显式类型转换 (string)$candidate 避免 password_verify() 因整型输入产生意外行为（该函数期望字符串）；
- 函数返回类型声明 : int 增强可维护性。
⚠️ 注意事项：
- 若数据库哈希数量极大（如 >10⁵ 条），暴力重试可能变慢。此时建议改用「布隆过滤器预检」或「预留号段+原子更新」策略；
- 生成后务必用 password_hash($otp, PASSWORD_DEFAULT) 安全存储，并关联用户 ID 和过期时间；
- 切勿将明文密码日志化或透传至前端——本函数仅负责生成，验证仍须依赖 password_verify()。
该方案兼顾安全性、简洁性与可扩展性，是生成防碰撞短密码的推荐实践。
