用 bcrypt (PHP) 比较两个哈希值答案

【问题标题】：Compare two hashes with bcrypt (PHP)用 bcrypt (PHP) 比较两个哈希值
【发布时间】：2014-11-03 19:38:28
【问题描述】：

在我的数据库中，我用

保存了密码

password_hash($user->getPassword(), PASSWORD_BCRYPT);

在登录表单中，用户输入此密码，我将密码编码为 bcrypt 字符串并将加密后的密码（因为我没有 SSL）提交给服务器。

所以我的问题是可以比较使用 bcrypt 生成的两个哈希吗？

【问题讨论】：

【解决方案1】：

在登录表单中，用户输入此密码，我将密码编码为 bcrypt 字符串并将加密后的密码（因为我没有 SSL）提交给服务器。

停止你正在做的事情，去购买 SSL 证书。有几个地方（https://www.startssl.com/ 是其中之一）您可以免费获得一个，或者您可以支付 7 美元给像 Namecheap 这样的人。

你已经实现了安全的错觉。在客户端散列密码并没有提供有意义的安全优势 - 任何 MITM 攻击者只需将调整后的 JavaScript 副本提供给他们正在攻击的人（或者只是拦截散列密码，这本质上是用户的真实方案中的密码）。

【讨论】：