PHP password_hash 总是包含 hashkey

Question

我正在尝试为此测试 password_hash 方法，我创建了以下函数 hashPassword：

function hashPassword($string) {
    $settings = array('cost' => 10, 'encryption_key' => 'thisIsMyEncryptionKey1234');
    return password_hash($string, PASSWORD_BCRYPT, $settings);
}

现在如果我用像"test"这样的随机字符串来测试它

结果是：

$2y$10$thisIsMyEncryptionKeyu5n3NNnKh3DjgJqgb5pE8YOLBclKrVWC

或者如果我用helloworld 测试它：

$2y$10$thisIsMyEncryptionKeyuVw8QRVNw8HbEWHX2oQlArVtne2TzOpS

谁能告诉我为什么会这样？还是应该是这样的？

Answer 1

除非您有充分的理由，否则切勿手动提供加密密钥。 I'd recommend reading the docs on password_hash some more.

正确使用只会让系统自行解决所有问题：

function hashPassword($password)
{
    return password_hash($password, PASSWORD_DEFAULT);
}

然后，PHP 将在内部为当前硬件选择最佳可用算法和最合适的迭代次数，并生成安全且唯一的盐。

要验证密码，然后使用password_verify，并检查所需的重新哈希，例如在User 类中：

class User
{
    ...

    public function verifyPassword($password)
    {
      if(!password_verify($password, $this->hash))
        return false;
      if(password_needs_rehash($this->hash, PASSWORD_DEFAULT))
        $this->setNewHashAndSaveToDB(password_hash($password, PASSWORD_DEFAULT));
      return true;
    }
}

通过使用这种结构，您可以确保散列密码始终保持最新并且随着硬件容量的提高而安全，在用户登录时自动进行。

PASSWORD_DEFAULT选择什么算法，使用什么配置的策略如下：

通过此函数更新支持的算法（或更改 默认一）必须遵循以下规则：

• 在成为默认算法之前，任何新算法都必须成为 PHP 至少 1 个完整版本的核心。因此，例如，如果一个新算法 在 5.5.5 中添加，直到 5.7 才符合默认条件 （自从 5.6 将是第一个完整版本）。但是，如果在 5.6.0 中添加了不同的算法，它也可以在 5.7.0 中默认使用。
• 默认值仅应在完整版本（5.6.0、6.0.0 等）上更改，而不应在修订版本上更改。唯一的例外是 在紧急情况下，当发现一个严重的安全漏洞时 当前默认值。

Answer 2

About加密密钥：

最佳加密密钥是从可靠的随机数生成器生成的二进制 blob。建议使用以下示例 (>= 5.3)：

$keySize = mcrypt_get_key_size(MCRYPT_RIJNDAEL_128, MCRYPT_MODE_CFB);
$encryptionKey = openssl_random_pseudo_bytes($key_size, $strong); //$strong will be true if the key is crypto safe

但在您的情况下，您只需设置字符串，为此使用一些随机数据。