如何在 Zend_Auth_Adapter_DbTable 中使用 php 5.5 密码 API

Question

到现在为止，我已经以纯文本形式存储了所有密码，因为该网站没有上线，我决定等待新的password api。

我有此代码可用于纯文本密码：

<?php
$dbAdapter = Zend_Db_Table::getDefaultAdapter();
$authAdapter = new Zend_Auth_Adapter_DbTable($dbAdapter);

$authAdapter->setTableName('account')
    ->setIdentityColumn('account_id')
    ->setCredentialColumn('account_password');

// Get our authentication adapter and check credentials
$adapter = $authAdapter;
$adapter->setIdentity($values['account_id']);
$adapter->setCredential($values['password']);

$auth = Zend_Auth::getInstance();
$result = $auth->authenticate($adapter);
if ($result->isValid()) {
    $user = $adapter->getResultRowObject();
    $auth->getStorage()->write($user);
    return true;
}
return false;

根据docs，我应该实现自己的适配器，并且可能只是更改为使用password_verify()。

我在这里错过了一切如何协同工作的大图。

我的问题是：

1. 我应该修改女巫对象吗？ $authAdaper 或 $auth

任何高级（或低级：D）示例代码都将不胜感激。

一切顺利 亚当

Answer 1

如果您希望通过添加password_hash 加密来修改身份验证的操作方式，那么 您需要在PHP 内完成此操作。

由于您仍希望使用数据库身份验证，我认为将其重新创建为新适配器将是矫枉过正。但是，您可以扩展当前的数据库适配器，例如：

class My_Auth_Adapter_DbTable extends Zend_Auth_Adapter_DbTable
{
  public function setCredential($credential)
  {
    $this->_credential = password_hash($credential);
    return $this;
  }
}

这意味着提供给适配器的任何密码都将始终使用password_hash 函数进行加密。

但是，这可以通过在调用 setCredential 之前对密码进行哈希处理来在适配器外部完成。

$options  = array('salt' => $config->passwordSalt);
$hashPassword = password_hash($plainTextPassword, PASSWORD_BCRYPT, $options);
$adpater->setCredential($hashPassword);

此方法将允许您在传递给适配器之前修改可选参数。

最后，值得一提的是，setCredentialTreatment 方法通常用于提供密码加密，这是在 SQL 语句中执行的（这意味着您需要使用 MySQL 命令而不是 password_hash）。

$authAdapter->setTableName('user')
      ->setIdentityColumn('email')
      ->setCredentialColumn('password')
      ->setCredentialTreatment(sprintf("MD5(CONCAT(?,'%s'))", $config->passwordSalt));

Answer 2

password_hash() 创建的哈希值需要通过 ̀password_verify()` 进行比较，因为相同密码的 2 个哈希值并不总是相等的（至少不使用 BCRYPT 或 ARGON2）。

<?php
$pass = 'foo';
var_dump(password_hash($pass, PASSWORD_BCRYPT) === password_hash($pass, PASSWORD_BCRYPT));
// bool(false)
var_dump(password_verify($pass, password_hash($pass, PASSWORD_BCRYPT)));
// bool(true)

有人 (s7anley) 做了一个Zend_Auth_Adapter_DbTable extension that uses password_verify()，这里是（供参考）：

<?php

class Base_Auth_Adapter_BcryptDbTable extends Zend_Auth_Adapter_DbTable
{
    /**
     * @inheritdoc
     */
    protected function _authenticateCreateSelect()
    {
        $dbSelect = clone $this->getDbSelect();
        $dbSelect->from($this->_tableName)
            ->where($this->_zendDb->quoteIdentifier($this->_identityColumn, true) . ' = ?', $this->_identity);

        return $dbSelect;
    }

    /**
     * @inheritdoc
     */
    protected function _authenticateValidateResult($resultIdentity)
    {
        $passwordCheck = password_verify($this->_credential, $resultIdentity[$this->_credentialColumn]);

        if (!$passwordCheck) {
            $this->_authenticateResultInfo['code'] = Zend_Auth_Result::FAILURE_CREDENTIAL_INVALID;
            $this->_authenticateResultInfo['messages'][] = 'Supplied credential is invalid.';
            return $this->_authenticateCreateAuthResult();
        }

        $this->_resultRow = $resultIdentity;

        $this->_authenticateResultInfo['code'] = Zend_Auth_Result::SUCCESS;
        $this->_authenticateResultInfo['messages'][] =  'Authentication successful.';
        return $this->_authenticateCreateAuthResult();
    }
}

类名显示为“Bcrypt”，但它适用于password_hash() 支持的任何算法。

你可以这样使用它：

$authAdapter = new Base_Auth_Adapter_BcryptDbTable($databaseAdapter, 'users', 'login', 'password');
$authAdapter
    ->setIdentity('my_username')
    ->setCredential('my_password') // "clear" password
    // ->setCredentialTreatment(null) // Can't set any treatment on password (would be ignored)
;
// For any additional filtering of returned rows, use getDbSelect()
$authAdapter->getDbSelect()->where('active = "TRUE"');