在 PHP 代码中存储散列密码，它安全吗？

Question

我需要一个只显示给授权用户的页面。所以我计划使用会话。 只有一个用户，密码不会改变。所以我打算做这样的事情

<?php
session_start();

if(isset($_POST['password']) )
{
    if($_POST['password']=="myhashedpassword" )
    {
        // auth okay, setup session
        $_SESSION['user'] = $_POST['username'];

        // redirect to required page
        header( "Location: index.php" );
     } else {
        // didn't auth go back to loginform
        header( "Location: loginform.html" );
     }
 } else {
     // username and password not given so go back to login
     header( "Location: loginform.html" );
 }

?>

我想知道这种方法的安全性。我不需要完全的安全性。希望它是公平的。

Answer 1

我会说不这样做的三个原因：

1. 您将明文密码 ($_POST['password']) 与常量字符串进行比较。即使对常量字符串进行哈希处理，您的密码也不会，因此您现在有效地将哈希值视为密码。 Pass the hash。
2. Timing attacks.
3. Using == to compare hashes in PHP 会导致不可预知的结果。

Answer 2

总的来说，我认为这会令人不悦，但它并非完全不安全，因为他们看不到明文密码。它消除了某人访问数据库以获取哈希然后尝试暴力破解它的需要。所以容易一点。

另外，如果($_POST['password']=="myhashedpassword" ) 这将不起作用，因为您将散列密码与帖子中的明文密码进行比较。所以你真的需要这样做

if( hash_algo($_POST['password']) == "myhashedpassword" ){//stuff}

我的建议是将此作为普通身份验证进行，或者向有权访问该页面的用户帐户添加一个标志并检查它。

Answer 3

永远不要硬编码密码。一些原因是：

• 源代码保密比密钥更难。
• 您网站中任何允许读取源代码的漏洞都可能泄露密码。
• 来自开发的密码最终将用于生产。
• 不重新部署就无法更改密码（你说不会更改，但万一被破解怎么办？）。