password_verify 功能非常慢

Question

您可以在此处看到的测试示例：https://3v4l.org/elrB8（1.1 - 1.3 秒），我的服务器上使用 PHP 5.6 的相同代码运行大约 27-57 秒。

哪些因素会导致减速？ 哪些 PHP 设置会影响此功能？

cost 和 PASSWORD_DEFAULT 在两台服务器上都是一样的。

Answer 1

这就是cost 参数的用途。更多的成本等于更多的散列，这需要你更长的时间来计算，而且还有潜在的破解者想要通过暴力破解密码。

所以有点意料之中，并且希望 password_hash 花费的时间超过一纳秒，您必须稍微玩一下 cost 看看什么最适合您，但同样，它不应该太快！

如果我没记错的话，bcrypt 目前是默认的 hasing 算法，bcrypt 的成本不是线性的。您会看到 cost 的增长呈指数级增长。