1

Здравствуйте! как сравнить пароль, точнее вывести то что в бд уже хешированный, показываю на примере так пароль попппдает в бд

$password           =     ($_POST["password"]);

$iterations = 1000;

$salt = mcrypt_create_iv(16, MCRYPT_DEV_URANDOM);

$hash = hash_pbkdf2("sha256", $password, $salt, $iterations, 20);

потом пытаюсь авторизоваться и ни как не пойму как получить что нужно хеш выдает каждый раз что то новое авторизовываюсь

$password           =     ($_POST["password"]);

$iterations = 1000;

$salt = mcrypt_create_iv(16, MCRYPT_DEV_URANDOM);

$hash = hash_pbkdf2("sha256", $password, $salt, $iterations, 20);
$myrow['password'] === $hash// тут не правильно сравнивает

с md5 все работало но тут не пойму

3
  • рас с md5 работало зачем вам sha256 понадобился?
    – Naumov
    28 янв 2017 в 18:03
  • прочитал стать md5 и sha1 устарели есть еще билиотека password compat , но мой хостер её не поодерживает, я думаю проблема с солью
    – Koly
    28 янв 2017 в 18:12
  • password_compat, а точнее ircmaxell/password_compat - реализация нескольких функций PHP5.5 для старых версий PHP. Это не библиотека, чтобы её поддерживал хостер, а несколько обычных php-файлов с обычными функциями. Для php5.5 и новее вообще не нужна, соответствующие функции доступны нативно. 28 янв 2017 в 18:15

2 ответа 2

4

Зачем вы при верификации пароля генерируете новую соль? Вы должны вместе с хэшом пароля сохранить сгенерированную соль и использовать её вновь при верификации. В этом случае получаемый хэш будет совпадать.


Обращаю внимание, что mcrypt официально объявлен устаревшим, уже PHP7.1 кидает E_DEPRECATED, в будущих версиях расширение будет выброшено в отдельный pecl-пакет и поддерживать его никто не обещает.

А для хранения паролей PHP начиная с версии 5.5 (и пользовательская реализация аж начиная с 5.3.7) предоставляет нативные функции, инкапсулирующие в себя необходимые криптографически-безопасные детали. Лучше использовать их.

2
  • то есть соль тоже хранить в бд?
    – Koly
    28 янв 2017 в 19:27
  • Да, обычно рядом с паролем сохраняется. Функции password_hash упаковывают все необходимые для проверки данные (алгоритм, хэш, соль) в одну результирующую строку, поэтому password_verify продолжит работать и после изменения алгоритма хэширования в более позднем времени. 28 янв 2017 в 19:36
0
password_hash($password, PASSWORD_DEFAULT);

Може посмотреть видео, чтобы разобраться как правильно работать с паролями или задать вопрос в ЛС https://youtu.be/ZoazIUfbkQE

1
  • Ответы-ссылки не приветствуются. Но вообще видео нормальное.
    – Qwertiy
    23 апр 2017 в 21:39

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.