PHP如何对用户密码进行加密？

封面图 • 2025-10-03 • PHP

在 PHP 中，**对用户密码进行加密**的最佳实践是使用 **`password_hash()`** 和 **`password_verify()`** 函数。这些函数提供了安全的密码哈希机制，推荐用于存储用户密码。

---

## ✅ 推荐方式：使用 `password_hash()` 和 `password_verify()`

### 1. 加密密码（存储前）

```php
<?php
$password = "user_password_123";
$hashedPassword = password_hash($password, PASSWORD_DEFAULT);

// 将 $hashedPassword 存入数据库
?>
```

- `PASSWORD_DEFAULT` 是当前默认的算法（目前是 `bcrypt`）。
- 每次调用 `password_hash()` 都会生成不同的哈希值，即使密码相同。

---

### 2. 验证密码（登录时）

```php
<?php
$enteredPassword = "user_password_123";
$storedHash = "从数据库中获取的哈希值";

if (password_verify($enteredPassword, $storedHash)) {
    echo "密码正确！";
} else {
    echo "密码错误！";
}
?>
```

---

## 🔒 为什么不要使用 md5、sha1 或 sha256？

- 这些是**不可逆的哈希算法**，但它们**不安全**，因为：
  - 可以被彩虹表（Rainbow Table）破解。
  - 不支持加盐（salt）。
  - 没有慢哈希机制（如 bcrypt、argon2 等）。

---

## 🛡️ 更安全的选项：使用 `PASSWORD_BCRYPT` 或 `PASSWORD_ARGON2ID`

你可以指定具体的算法：

```php
// 使用 bcrypt
$hashedPassword = password_hash($password, PASSWORD_BCRYPT);

// 使用 argon2id（PHP 7.3+ 支持）
$hashedPassword = password_hash($password, PASSWORD_ARGON2ID);
```

---

## ⚠️ 注意事项

- **永远不要明文存储密码**。
- **不要自己实现加密逻辑**，使用内置函数更安全。
- 密码应有长度和复杂度要求（如至少 8 位，包含字母、数字、符号等）。

---

## 💡 示例：完整注册/登录流程

### 注册时加密密码

```php
<?php
$username = $_POST['username'];
$password = $_POST['password'];

$hashedPassword = password_hash($password, PASSWORD_DEFAULT);

// 存入数据库
?>
```

### 登录时验证密码

```php
<?php
$username = $_POST['username'];
$inputPassword = $_POST['password'];

// 从数据库中查询该用户的哈希密码
$storedHash = getHashFromDatabase($username);

if (password_verify($inputPassword, $storedHash)) {
    // 登录成功
} else {
    // 登录失败
}
?>
```

---

如果你需要进一步了解密码策略、盐值（salt）、哈希算法原理等，也可以继续问我！