详解PHP处理密码的几种方式


Posted in PHP onNovember 30, 2016

在 PHP中,经常会对用户身份进行认证。本文意在讨论对密码的处理,也就是对密码的加密处理。

MD5

相信很多PHP开发者在最先接触PHP的时候,处理密码的首选加密函数可能就是MD5了,我当时就是这样的:

$password = md5($_POST["password"]);

上面这段代码是不是很熟悉?然而MD5的加密方式目前已经不太安全了,因为它的加密算法实在是显得有点简单了,而且很多破解密码的站点都存放了很多经过MD5加密的密码字符串,所以这里我是非常不提倡还在单单使用MD5来加密用户的密码的。

SHA256 和 SHA512

其实跟前面的MD5同期的还有一个SHA1加密方式的,不过也是算法比较简单,所以这里就不介绍了。而这里即将要说到的SHA256 和 SHA512都是来自于SHA2家族的加密函数,看名字可能你就猜的出来了,这两个加密方式分别生成256和512比特长度的 hash字串。

他们的使用方法如下:

$password = hash("sha256", $password);

PHP内置了hash()函数,你只需要将加密方式传给hash()函数就好了。你可以直接指明sha256, sha512, md5, sha1等加密方式。

盐值

在加密的过程,我们还有一个非常常见的东西:盐值。对,我们在加密的时候其实会给加密的字符串添加一个额外的字符串,以达到提高一定安全的目的,并且盐值要记录下来,方便以后的比对:

function generateHashWithSalt($password) {
  $intermediateSalt = md5(uniqid(rand(), true));
  $salt = substr($intermediateSalt, 0, 6); 
  return hash("sha256", $password . $salt);
}

Bcrypt

Bcrypt不失为一种比较不错的加密方式了,但是后面介绍的 Hashing API更好。

function generateHash($password) {
  if (defined("CRYPT_BLOWFISH") && CRYPT_BLOWFISH) {
    $salt = '$2y$11$' . substr(md5(uniqid(rand(), true)), 0, 22);
    return crypt($password, $salt);
  }
}

Bcrypt 其实就是Blowfish和crypt()函数的结合,我们这里通过CRYPT_BLOWFISH判断Blowfish是否可用,然后像上面一样生成一个盐值,不过这里需要注意的是,crypt()的盐值必须以 $2a$ 或者 $2y$ 开头。

Password Hashing API

这里才是我们的重头戏,Password Hashing API是PHP 5.5之后才有的新特性,它主要是提供下面几个函数供我们使用:

password_hash()     //对密码加密.
password_verify()    //验证已经加密的密码,检验其hash字串是否一致.
password_needs_rehash() //给密码重新加密.
password_get_info()   //返回加密算法的名称和一些相关信息.

使用这套 API不仅简单,而且更加安全,这也是 PHP官方推荐的加密方式。

$hash = password_hash($passwod, PASSWORD_DEFAULT);

PASSWORD_DEFAULT目前使用的就是Bcrypt加密算法,这里需要注意的是,如果你代码使用的都是PASSWORD_DEFAULT加密方式,那么在数据库的表中,password字段就得设置超过60个字符长度,你也可以使用PASSWORD_BCRYPT算法,该算法加密后的字符串长度总为60。

这里使用 password_hash()你完全可以不提供盐值(salt)和 消耗值 (cost),你可以将后者理解为一种性能的消耗值,cost越大,加密算法越复杂,消耗的内存也就越大。当然,如果你需要指定对应的盐值和消耗值,你可以这样写:

$options = [
  'salt' => custom_function_for_salt(), //自定义函数来获得盐值
  'cost' => 12 // the default cost is 10
];
$hash = password_hash($password, PASSWORD_DEFAULT, $options);

不过一般自定义 cost就好了, salt值则使用默认的。

加密好后,只需要简单的使用即可验证密码是否正确

<?php
if (password_verify($password, $hash)) {
  // Pass
}
else {
  // Invalid
}

直接使用password_verify就可以对我们之前加密过的字符串(存在数据库中)进行验证了。

如果要更换更改加密的方式,则必须使用以下代码来重新加密:

if (password_needs_rehash($hash, PASSWORD_DEFAULT, ['cost' => 12])) {
  // cost 变为 12
  $hash = password_hash($password, PASSWORD_DEFAULT, ['cost' => 12]);

  // 然后重新保存 hash值
}

只有这样,PHP的 Password Hashing API才会知道我们重现更换了加密方式,这样才能完成之后的密码验证。

password_get_info(),这个函数一般可以看到下面三个信息:

1、algo ? 算法实例

2、algoName ? 算法名字

3、options ? 加密时候的可选参数

以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持三水点靠木。

PHP 相关文章推荐
海河写的 Discuz论坛帖子调用js的php代码
Aug 23 PHP
php模板中出现空行解决方法
Mar 08 PHP
PHP setTime 设置当前时间的代码
Aug 27 PHP
探讨各种PHP字符串函数的总结分析
Jun 05 PHP
PHP实现通过Luhn算法校验信用卡卡号是否有效
Mar 23 PHP
PHP远程调试之XDEBUG
Dec 29 PHP
100行PHP代码实现socks5代理服务器
Apr 28 PHP
php利用gd库为图片添加水印
Nov 09 PHP
[原创]php实现 data url的图片生成与保存
Dec 04 PHP
php实现连接access数据库并转txt写入的方法
Feb 08 PHP
php微信开发之图片回复功能
Jun 14 PHP
Swoole源码中如何查询Websocket的连接问题详解
Aug 30 PHP
php+js实现百度地图多点标注的方法
Nov 30 #PHP
php 运算符与表达式详细介绍
Nov 30 #PHP
PHP AjaxForm提交图片上传并显示图片源码
Nov 29 #PHP
php判断是否为ajax请求的方法
Nov 29 #PHP
PHP判断文件是否被引入的方法get_included_files用法示例
Nov 29 #PHP
php获取开始与结束日期之间所有日期的方法
Nov 29 #PHP
PHP精确计算功能示例
Nov 29 #PHP
You might like
PHP常用特殊运算符号和函数总结(php新手入门必看)
2013/02/02 PHP
Smarty分页实现方法完整实例
2016/05/11 PHP
PHP性能优化大全(php.ini)
2016/05/20 PHP
PHP7生产环境队列Beanstalkd用法详解
2020/05/19 PHP
Javascript Boolean、Nnumber、String 强制类型转换的区别详细介绍
2012/12/13 Javascript
js 用CreateElement动态创建标签示例
2013/11/20 Javascript
关闭时刷新父窗口两种方法
2014/05/07 Javascript
jQuery插件ajaxFileUpload实现异步上传文件效果
2015/04/14 Javascript
jQuery插件Slider Revolution实现响应动画滑动图片切换效果
2015/06/05 Javascript
javascript实现tab切换特效
2015/11/12 Javascript
Angularjs分页查询的实现
2017/02/24 Javascript
详解react-router如何实现按需加载
2017/06/15 Javascript
angularJs 表格添加删除修改查询方法
2018/02/27 Javascript
Vue面试题及Vue知识点整理
2018/10/07 Javascript
JavaScript中filter的用法实例分析
2019/02/27 Javascript
浅谈Vue页面级缓存解决方案feb-alive(上)
2019/04/14 Javascript
修改Vue打包后的默认文件名操作
2020/08/12 Javascript
在cmd中运行.py文件: python的操作步骤
2018/05/12 Python
python try except 捕获所有异常的实例
2018/10/18 Python
django创建最简单HTML页面跳转方法
2019/08/16 Python
使用pyshp包进行shapefile文件修改的例子
2019/12/06 Python
在Django中预防CSRF攻击的操作
2020/03/13 Python
如何搭建pytorch环境的方法步骤
2020/05/06 Python
Python函数递归调用实现原理实例解析
2020/08/11 Python
欧迪办公美国官网:Office Depot
2016/08/22 全球购物
美国最大的农村生活方式零售店:Tractor Supply Company(TSC)
2017/05/15 全球购物
采用怎样的方法保证数据的完整性
2013/12/02 面试题
Shell脚本如何向终端输出信息
2014/04/25 面试题
音乐兴趣小组活动总结
2014/07/07 职场文书
小石潭记导游词
2015/02/03 职场文书
学生检讨书怎么写
2015/05/07 职场文书
单位考核鉴定意见
2015/06/05 职场文书
如何用JavaScript检测当前浏览器是无头浏览器
2021/04/27 Javascript
一文搞懂Python Sklearn库使用
2021/08/23 Python
MybatisPlus EntityWrapper如何自定义SQL
2022/03/22 Java/Android
新的CSS 伪类函数 :is() 和 :where()示例详解
2022/08/05 HTML / CSS