自己一直都是用简单的md5加密,在网上看到的这种加密方式,写下来方便日后看。
Password Hashing API
是PHP 5.5之后才有的新特性,它主要是提供下面几个函数供我们使用:
password_hash() – 对密码加密. password_verify() – 验证已经加密的密码,检验其hash字串是否一致. password_needs_rehash() – 给密码重新加密. password_get_info() – 返回加密算法的名称和一些相关信息.
虽然说crypt()
函数在使用上已足够,但是password_hash()
不仅可以使我们的代码更加简短,而且还在安全方面给了我们更好的保障,所以,现在PHP的官方都是推荐这种方式来加密用户的密码,很多流行的框架比如Laravel
就是用的这种加密方式。
$hash = password_hash($passwod, PASSWORD_DEFAULT);
对,就是这么简单,一行代码,All done。
PASSWORD_DEFAULT
目前使用的就是Bcrypt
,所以在上面我会说推荐这个,不过因为Password Hashing API
做得更好了,我必须郑重地想你推荐Password Hashing API
。这里需要注意的是,如果你代码使用的都是PASSWORD_DEFAULT
加密方式,那么在数据库的表中,password字段就得设置超过60个字符长度,你也可以使用PASSWORD_BCRYPT
,这个时候,加密后字串总是60个字符长度。
这里使用password_hash()
你完全可以不提供盐值(salt)
和 消耗值 (cost)
,你可以将后者理解为一种性能的消耗值,cost
越大,加密算法越复杂,消耗的内存也就越大。当然,如果你需要指定对应的盐值和消耗值,你可以这样写:
$options = [ 'salt' => custom_function_for_salt(), //write your own code to generate a suitable salt 'cost' => 12 // the default cost is 10 ]; $hash = password_hash($password, PASSWORD_DEFAULT, $options);
密码加密过后,我们需要对密码进行验证,以此来判断用户输入的密码是否正确:
if (password_verify($password, $hash)) { // Pass } else { // Invalid }
很简单的吧,直接使用password_verify
就可以对我们之前加密过的字符串(存在数据库中)进行验证了。
然而,如果有时候我们需要更改我们的加密方式,如某一天我们突然想更换一下盐值或者提高一下消耗值,我们这时候就要使用到password_needs_rehash()
函数了:
if (password_needs_rehash($hash, PASSWORD_DEFAULT, ['cost' => 12])) { // cost change to 12 $hash = password_hash($password, PASSWORD_DEFAULT, ['cost' => 12]); // don't forget to store the new hash! }
只有这样,PHP的Password Hashing API
才会知道我们重现更换了加密方式,这样的主要目的就是为了后面的密码验证。
简单地说一下password_get_info()
,这个函数一般可以看到下面三个信息:
algo – 算法实例
algoName – 算法名字
options – 加密时候的可选参数
所以,现在就开始用PHP 5.5吧,别再纠结低版本了。
转载自:http://www.cnblogs.com/yhdsir/p/5574866.html