PHP password_hash() 函數

PHP 密碼散列演算法PHP 密碼散列演算法

password_hash() 函數用於創建密碼的散列（hash）

PHP 版本要求: PHP 5 >= 5.5.0, PHP 7

語法

string password_hash ( string $password , int $algo [, array $options ] )

password_hash() 使用足夠強度的單向散列演算法創建密碼的散列（hash）。 password_hash() 相容 crypt()。 所以， crypt() 創建的密碼散列也可用於 password_hash()。

當前支持的演算法：

  • PASSWORD_DEFAULT - 使用 bcrypt 演算法 (PHP 5.5.0 默認)。 注意，該常量會隨著 PHP 加入更新更高強度的演算法而改變。 所以，使用此常量生成結果的長度將在未來有變化。 因此，資料庫裏儲存結果的列可超過60個字元（最好是255個字元）。
  • PASSWORD_BCRYPT - 使用 CRYPT_BLOWFISH 演算法創建散列。 這會產生相容使用 "$2y$" 的 crypt()。 結果將會是 60 個字元的字串， 或者在失敗時返回 FALSE。
  • PASSWORD_ARGON2I - 使用 Argon2 散列演算法創建散列。

PASSWORD_BCRYPT 支持的選項：

  • salt(string) - 手動提供散列密碼的鹽值（salt）。這將避免自動生成鹽值（salt）。

    省略此值後，password_hash() 會為每個密碼散列自動生成隨機的鹽值。這種操作是有意的模式。

    注意：鹽值（salt）選項從 PHP 7.0.0 開始被廢棄（deprecated）了。 現在最好選擇簡單的使用默認產生的鹽值。

  • cost (integer) - 代表演算法使用的 cost。crypt() 頁面上有 cost 值的例子。

    省略時，默認值是 10。 這個 cost 是個不錯的底線，但也許可以根據自己硬體的情況，加大這個值。

PASSWORD_ARGON2I 支持的選項：

  • memory_cost (integer) - 計算 Argon2 散列時的最大記憶體（單位：位元組 byte）。默認值： PASSWORD_ARGON2_DEFAULT_MEMORY_COST。

  • time_cost (integer) - 計算 Argon2 散列時最多的時間。默認值： PASSWORD_ARGON2_DEFAULT_TIME_COST。

  • threads (integer) - 計算 Argon2 散列時最多的線程數。默認值： PASSWORD_ARGON2_DEFAULT_THREADS。

參數說明：

  • password: 一個由 password_hash() 創建的散列值。

  • algo: 一個用來在散列密碼時指示演算法的密碼演算法常量。

  • options: 一個包含有選項的關聯數組。目前支持兩個選項：salt，在散列密碼時加的鹽（干擾字串），以及cost，用來指明演算法遞歸的層數。這兩個值的例子可在 crypt() 頁面找到。

    省略後，將使用隨機鹽值與默認 cost。

返回值

返回散列後的密碼， 或者在失敗時返回 FALSE。

實例

實例 1

<?php /** * 我們想要使用默認演算法散列密碼 * 當前是 BCRYPT，並會產生 60 個字元的結果。 * * 請注意，隨時間推移，默認演算法可能會有變化， * 所以需要儲存的空間能夠超過 60 字（255字不錯） */ echo password_hash("rasmuslerdorf", PASSWORD_DEFAULT); ?>

輸出結果為：

$2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a

實例 2

<?php /** * 在這個案例裏，我們為 BCRYPT 增加 cost 到 12。 * 注意，我們已經切換到了，將始終產生 60 個字元。 */ $options = [ 'cost' => 12, ]; echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options); ?>

輸出結果為：

$2y$12$QjSH496pcT5CEbzjD/vtVeH03tfHKFy36d4J0Ltp3lRtee9HDxY3K

實例 3

手動設置鹽值的例子

<?php /** * 注意，這裏的鹽值是隨機產生的。 * 永遠都不要使用固定鹽值，或者不是隨機生成的鹽值。 * * 絕大多數情況下，可以讓 password_hash generate 為你自動產生隨機鹽值 */ $options = [ 'cost' => 11, 'salt' => mcrypt_create_iv(22, MCRYPT_DEV_URANDOM), ]; echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options); ?>

輸出結果為：

$2y$11$q5MkhSBtlsJcNEVsYh64a.aCluzHnGog7TQAKVmQwO9C8xb.t89F.

實例 4

尋找最佳 cost 的 password_hash() 例子

<?php /** * 這個例子對伺服器做了基準測試（benchmark），檢測伺服器能承受多高的 cost * 在不明顯拖慢伺服器的情況下可以設置最高的值 * 8-10 是個不錯的底線，在伺服器夠快的情況下，越高越好。 * 以下代碼目標為 ≤ 50 毫秒（milliseconds）， * 適合系統處理交互登錄。 */ $timeTarget = 0.05; // 50 毫秒（milliseconds） $cost = 8; do { $cost++; $start = microtime(true); password_hash("test", PASSWORD_BCRYPT, ["cost" => $cost]); $end = microtime(true); } while (($end - $start) < $timeTarget); echo "Appropriate Cost Found: " . $cost; ?>

輸出結果為：

Appropriate Cost Found: 10

實例 5

使用 Argon2 例子:

<?php echo 'Argon2 hash: ' . password_hash('rasmuslerdorf', PASSWORD_ARGON2I); ?>

輸出結果為：

Argon2 hash: $argon2i$v=19$m=1024,t=2,p=2$YzJBSzV4TUhkMzc3d3laeg$zqU/1IN0/AogfP4cmSJI1vc8lpXRW9/S0sYY2i2jHT0

PHP 密碼散列演算法PHP 密碼散列演算法