为什么password_verify返回false？

Question

我正在使用 password_verify 来检查我的哈希密码。我有 PHP 5.5：

// get result row (as an object)
$result_row = $result_of_login_check->fetch_object();

// using PHP 5.5's password_verify() function to check if the provided password fits
// the hash of that user's password
if (password_verify($_POST['user_password'], $result_row->user_password_hash)) {
    // ...
}

我在 password_verify 上得到 false。我已经检查过 posts 值和 mysql user_password_hash 返回。

我不知道为什么它返回 false。

有什么想法吗？

Answer 1

根据手册，问题可能出在您的列长度上：
建议将结果存储在可扩展超过 60 个字符的数据库列中（255 个字符是一个不错的选择）。 链接

Answer 2

password_verify 有多种原因可能会返回 false，它的范围可能从表的设置到密码的实际比较，以下是失败的常见原因。

列设置

• 表中密码列的长度太短：

  • 如果您使用 PASSWORD_DEFAULT，则建议将结果存储在可扩展至 60 个字符以上的数据库列中（255 个字符是一个不错的选择）。
  • 如果您使用 PASSWORD_BCRYPT，则建议将结果存储在 60 个字符的数据库列中，因为 PASSWORD_BCRYPT 始终会生成 60 个字符的字符串或 FALSE失败时。

密码清理

另一个常见原因是，当开发人员尝试“清理”用户密码以防止其被恶意攻击时，结果会导致输入与表中存储的内容不同。甚至没有必要转义输入，您应该使用准备好的语句。您甚至不应该修剪密码，因为这可能会更改最初提供的密码。

密码验证

使用password_verify时，您需要将明文密码与数据库中的哈希值进行比较，而不是比较哈希值（这里的含义是您需要在用户注册时存储用户的哈希密码） ：

<?php

$hashed = password_hash('test', PASSWORD_DEFAULT);
$password = 'test';

if (password_verify($password, $hashed)) {
  echo 'success';
} else {
  echo 'fail';
}

?>

Repl

硬编码密码

在您使用硬编码哈希且面临的情况下问题，请确保在变量中存储值时使用单引号而不是双引号，因为使用双引号时将解释 $

<?php
// Undefined variable: QHpfI0MfQWjvsVQWRdFHSOX6WqG8LSf0iFGiKs0Fz0RvqhpFOpAKu :1
$incorrect = "$2y$10$QHpfI0MfQWjvsVQWRdFHSOX6WqG8LSf0iFGiKs0Fz0RvqhpFOpAKu";

$correct = '$2y$10$QHpfI0MfQWjvsVQWRdFHSOX6WqG8LSf0iFGiKs0Fz0RvqhpFOpAKu';
?>

： it/repls/DarkblueFractalOperatingenvironment" rel="noreferrer">Repl - 分别注释掉。

附录

根据文档：

警告强烈建议您不要为此函数生成自己的盐。如果您不指定，它会自动为您创建一个安全的盐。

如上所述，在 PHP 7.0 中提供 salt 选项将生成弃用警告。在未来的 PHP 版本中可能会删除对手动提供盐的支持。

Answer 3

调试问题的简单步骤：

1. 在注册阶段打印并写下原始密码和哈希值的准确值。类似的东西

    var_dump($password);
    $hash =password_hash($password, PASSWORD_DEFAULT);
    var_dump($哈希);
   

   然后将输出复制并粘贴到某个文本文件中。

2. 打印并写下登录阶段提供的密码的准确值以及从数据库返回的哈希值。类似的东西

    var_dump($password);
    var_dump($row['密码']);
    if(password_verify($password, $row['password'])) ...
   

然后简单地比较这些值 如果 password_verify() 失败，则原始密码或哈希值不匹配。如果原始密码不匹配，则输入的密码要么不正确，要么在一些无用的“清理”过程中被破坏。如果从数据库返回的哈希不匹配，那么它要么在一些无用的“清理”过程中被损坏，要么由于数据库中不正确的列属性而被更改。

Answer 4

检查参数顺序

只是指出发生在我身上的事情，几分钟前我正在阅读同一主题并试图解决我的问题，并且也可以帮助您解决问题。
看看您是否以正确的顺序为password_verify()提供参数：

password_verify(字符串 $password, 字符串 $hash)

密码是您通过邮寄或其他方式收到并正在尝试验证的密码。

哈希是您要与密码进行比较的哈希值。（例如，存储在数据库中的密码哈希值）

我碰巧颠倒了参数的顺序，所以结果没有按我的预期出现。