0

Хочу использовать функцию password_hash. В документации написано:

Предостережение Настоятельно рекомендуется использовать автоматическую генерацию соли. Данная функция самостоятельно создаст хорошую соль, если вы не будете ей мешать подсовывая свою.

Как было замечено выше, опция salt была объявлена устаревшей в PHP 7.0 и будет вызывать соответствующее предупреждение. Поддержка ручного задания соли может быть удалена в более новых версиях.

Как это понимать? Если соль генерируется рандомно, то я получу разный хэш, и как мне потом сравнить с записанным хешем, если они будут отличаться?

5
  • 1
    php.net/manual/ru/function.password-verify.php "Обратите внимание, что password_hash() возвращает алгоритм, стоимость и соль как части хеша. Таким образом, вся необходимая для проверки информация включена в него. Это позволяет производить проверку без необходимости хранить все эти данные раздельно" php.net/manual/ru/book.password.php
    – qwabra
    10 авг 2018 в 21:36
  • @qwabra хорошо бы некие пояснения, а не просто цитаты и ссылки, а то это выглядит "как нарисовать сову" 10 авг 2018 в 22:10
  • соль как части хеша, как часть хэша - соль
    – qwabra
    10 авг 2018 в 22:11
  • а что за сова ?
    – qwabra
    10 авг 2018 в 22:16

2 ответа 2

0

Уважаемый @qwabra хотел сказать, что надо использовать password_verify для проверки соответствия хеша паролю, а не обычное "==".

0
0

Суть в том, что один и тот-же пароль, может генерировать с разной солью, причем одинаковой так-таковой не будет, так-как, используется привязка к времени.

function password($password, $hash = '') {
    if ($hash) {
        return password_verify($password, $hash);
    } else if ($password) {
        return password_hash($password, PASSWORD_BCRYPT, [
            'cost' => 11
        ]);
    }
}
$password = 'password';
$hashs = [];
for ($i = 0; $i < 3;  ++$i) {
    $hashs[] = password($password);
}
var_dump($hashs);

Вывод (всегда будет разным):

array(3) {
  [0]=>
  string(60) "$2y$11$U.pByOtimdolMwM0ltXYvO3lM/ottr0W5qGLcYHhGdL1ql1OndtEC"
  [1]=>
  string(60) "$2y$11$ZnmQz1hiZkvpdO5RXM5qCeY9N8LVgt5b6ONGBGfr4ZQxmd5WTdGDW"
  [2]=>
  string(60) "$2y$11$I5p4vJScXYgea1invjg3F..4zC.5xNSqbflNTS/RxfpyFJ2lUZ/8W"
}

Проверяем:

foreach($hashs as $hash) {
    var_dump(password($password, $hash));
}

Вывод:

bool(true)
bool(true)
bool(true)

Это значит. что все 3 хеша равны password.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.