具有不同哈希值的 PHP password_verify [重复]

Question

我有一个关于 password_hash() 和 password_verify() 的技术问题。

如果我通过password_hash() 多次运行示例密码，每次都会得到不同的结果。我想这是一件好事。

问题是如果实际哈希值不断变化，password_verify() 如何实际验证候选密码？

我在这里问这个问题是因为它与 PHP 相关。

对于那些认为这个问题重复的人：

这个问题不是链接问题的重复。我知道值会发生变化，并且 password_verify_ 可以使用它。

这是一个如何发生的问题。

Answer 1

正如 manual page 中提到的 password_hash() 函数，

使用的算法、成本和盐作为散​​列的一部分返回。因此，验证哈希所需的所有信息都包含在其中。这允许 password_verify() 函数验证哈希，而无需单独存储盐或算法信息。

当相同的输入——算法、成本、盐和密码——被输入密码计算时，将生成相同的输出。因此，password_verify() 从原始计算中获取算法、成本和盐，使用正在测试的密码生成新的哈希，并将之前的结果与新生成的结果进行比较。如果匹配，则验证成功，否则为错误。