Crypt 函数根据 PHP 版本输出两个不同的值

Question

在以下代码中使用密码“testtest”和哈希“KFtIFW1vulG5nUH3a0Mv”会产生不同的哈希，具体取决于 PHP 版本（如下图所示）：

$salt = "KFtIFW1vulG5nUH3a0Mv";
$password = "testtest";

$key = '$2a$07$';
$key = $key.$salt."$"; 

echo crypt($password, $key);

输出 1（PHP v.5.3.0 - 5.4.41、5.5.21 - 5.5.25、5.6.5 - 5.6.9）：$2a$07$KFtIFW1vulG5nUH3a0Mv$.0imhrNa/laTsN0Ioj5m357/a8AxxF2q

输出 2（PHP v.5.5.0 - 5.5.20、5.6.0 - 5.6.4）：$2a$07$KFtIFW1vulG5nUH3a0Mv$e0imhrNa/laTsN0Ioj5m357/a8AxxF2q

这是一个问题的例子： http://3v4l.org/dikci

如果使用 crypt 对登录密码进行哈希处理，这是一个大问题，因为根据 PHP 版本，哈希值会有所不同。有谁知道这个问题是从哪里来的以及如何处理的？

Answer 1

这并不是你想象的那么大的问题。

首先您应该注意，您的代码并非绝对正确，BCrypt 需要 22 个字符的盐，但您提供了 20 个字符的盐。这意味着终止的“$”（顺便说一句，这不是必需的）将被视为盐的一部分，以及密码的第一个字母。 $ 不是 BCrypt 盐的有效字符。

要考虑的另一件事是，并非字符 22 的所有位都被使用，这是由于编码的原因，ircmaxell 对此给出了good explanation。所以不同的盐可以产生相同的哈希，你可以在answer 中很好地看到这一点。理论上，不同的实现如何处理字符 22 的最后一位可能会发生变化。只要 crypt 函数可以用两个哈希值验证密码就没有问题。

salt 的产生及其陷阱是原因之一，为什么 password_hash() 和 password_verify() 编写的函数使密码处理更加容易。