使用 password_hash 和 password_verify [重复]

Question

在我的登录 PHP 文件中，我有这些

$passwordInput = password_hash($passInput, PASSWORD_BCRYPT);
$passwordVerify = password_verify($userInput, $passwordInput);

在我的注册 PHP 文件中我有这个。

$passwordSign = password_hash($passSign, PASSWORD_BCRYPT);

现在，基本上我做了它，所以它会散列密码并在注册时将自己插入数据库。它的作用。

但是，它无法验证它。两个结果都给出了 2 个不同的哈希值，我不知道我可能做错了什么。我还尝试让它再次对输入进行哈希处理并检查数据库中的密码哈希，但这没有用..

使用这些的正确方法是什么？

（另外，$passSign 和 $userInput 是输入字段，它确实获取用户名/密码）

Answer 1

注册时，您从用户输入中获取密码并使用password_hash() 生成密码：

$hash = password_hash($_POST['password'], PASSWORD_BCRYPT);

您可以在第三个参数中为其提供要使用的自定义盐，但文档 recommends 不这样做：

注意 强烈建议您不要为此函数生成自己的盐。如果您不指定，它将自动为您创建一个安全的盐。

您将此哈希保存在数据库中。确保将其放入CHAR/VARCHAR60 个字符或更长的字段。

当用户想要登录时，请检查他们输入的密码与之前使用 password_verify() 保存的哈希值：

$auth = password_verify($_POST['password'], $hash);

当然，您可以从数据库中通过提供的用户名搜索得到正确的 $hash 值。

如果$auth 是TRUE，则提供的密码与注册时计算的哈希值匹配，并且用户已通过身份验证。