PHP：密码散列

Question

我已经开始使用 password_hash() 进行密码散列。我遇到的问题是，当我使用 password_verify() 检查输入值是否与存储在数据库中的散列密码匹配时，每次它都返回 false。

  $password = "test";

  $query = "SELECT password FROM user WHERE password = :pass ";
  $statement = $connection->prepare($query);
  $statement->bindParam(":pass", $password);
  $statement->execute(); 

   if(password_verify($password, $row['password'])){
    echo "Password Valid";
   }

   else {
    echo "Invalid Password";
   }

但是，例如，如果我从数据库中复制一个哈希密码值并将其放在 $row['password'] 的位置，并且当我测试代码时，它会返回 true。

   if(password_verify($password, '$2y$10$kc09i9YSP.ExmUquMqRnf......')){
    echo "Password Valid";
   }

请帮忙。

Answer 1

替换：

$statement->bindParam(":pass", $password);

与：

$statement->bindParam(":pass", password_hash($password, PASSWORD_DEFAULT));

请使用 Joel Hinz 的回答

Answer 2

第一个问题是您尝试使用 SQL 来查找散列密码。标准过程是找到具有给定用户名的用户，并获取该用户的密码以便进行验证。

您的另一个问题是调用 $row['password'] 但您尚未在代码中实际设置它。先取行，再验证密码。

这样的事情应该可以工作：

$username = "test";

$query = "SELECT password FROM user WHERE username = :username ";
$statement = $connection->prepare($query);
$statement->bindParam(":username", $username);
$statement->execute();
$row = $statement->fetch();

if(password_verify($password, $row['password'])){
    echo "Password Valid";
}
else {
    echo "Invalid Password";
}