[url=http://www.php.net/security/crypt_blowfish.php]http://www.php.net/security/crypt_blowfish.php[/url]
更多资料可以看这里:
[url=http://php.net/manual/en/function.crypt.php]http://php.net/manual/en/function.crypt.php[/url]
[b]Password Hashing API[/b]
这里才是我们的重头戏,[b]Password Hashing API [/b]是[b]PHP 5.5[/b]之后才有的新特性,它主要是提供下面几个函数供我们使用:
password_hash() – 对密码加密.
password_verify() – 验证已经加密的密码,检验其hash字串是否一致.
password_needs_rehash() – 给密码重新加密.
password_get_info() – 返回加密算法的名称和一些相关信息.
虽然说[b]crypt() [/b]函数在使用上已足够,但是[b] password_hash() [/b]不仅可以使我们的代码更加简短,而且还在安全方面给了我们更好的保障,所以,现在PHP的官方都是推荐这种方式来加密用户的密码,很多流行的框架比如 Laravel 就是用的这种加密方式。
<?php
$hash = password_hash($passwod, PASSWORD_DEFAULT);
对,就是这么简单,一行代码,All done。
[b]PASSWORD_DEFAULT [/b]目前使用的就是[b]Bcrypt [/b],所以在上面我会说推荐这个,不过因为[b]Password Hashing API [/b]做得更好了,我必须郑重地想你推荐[b]Password Hashing API [/b]。这里需要注意的是,如果你代码使用的都是[b]PASSWORD_DEFAULT [/b]加密方式,那么在数据库的表中,[b]password[/b]字段就得设置超过60个字符长度,你也可以使用[b]PASSWORD_BCRYPT [/b],这个时候,加密后字串总是60个字符长度。
这里使用[b]password_hash() [/b]你完全可以不提供盐值[b] (salt)[/b] 和 消耗值[b] (cost) [/b],你可以将后者理解为一种性能的消耗值,[b]cost [/b]越大,加密算法越复杂,消耗的内存也就越大。当然,如果你需要指定对应的盐值和消耗值,你可以这样写:
<?php
$options = [
'salt' => custom_function_for_salt(), //write your own code to generate a suitable salt
'cost' => 12 // the default cost is 10
];
$hash = password_hash($password, PASSWORD_DEFAULT, $options);
密码加密过后,我们需要对密码进行验证,以此来判断用户输入的密码是否正确:
<?php
if (password_verify($password, $hash)) {
// Pass
}
else {
// Invalid
}
很简单的吧,直接使用[b] password_verify [/b]就可以对我们之前加密过的字符串(存在数据库中)进行验证了。
然而,如果有时候我们需要更改我们的加密方式,如某一天我们突然想更换一下盐值或者提高一下消耗值,我们这时候就要使用到[b] password_needs_rehash() [/b]函数了:
<?php
if (password_needs_rehash($hash, PASSWORD_DEFAULT, ['cost' => 12])) {
// cost change to 12
$hash = password_hash($password, PASSWORD_DEFAULT, ['cost' => 12]);
// don't forget to store the new hash!
}
只有这样,PHP的[b]Password Hashing API [/b]才会知道我们重现更换了加密方式,这样的主要目的就是为了后面的密码验证。
简单地说一下[b] password_get_info() [/b],这个函数一般可以看到下面三个信息:
[b]algo – 算法实例
algoName – 算法名字
options – 加密时候的可选参数[/b]
通过以上内容的介绍,个人建议PHP5.5版本用起来比较好用。希望大家喜欢以上内容所述。