如何将散列密码与用户输入进行比较？

Question

我正在尝试匹配并验证用户通过 $_POST 输入的密码和数据库中的散列密码。问题是，当我对输入密码进行哈希处理时，BCRYPT 每次都会产生一个新的哈希值，这意味着没有两个哈希值是相同的，这不会给我匹配。我怎么可能匹配 BCRYPT 散列密码？感谢您的帮助！

登录：

$password = password_hash(htmlentities($_POST['password']), PASSWORD_BCRYPT, array(
'cost'=>14)); 

$stmt = $mcon->prepare("SELECT `password` FROM members WHERE password=:password");
$stmt->bindParam(":password", $password);
$stmt->execute();

//get_result
$data_array = $stmt->fetch(PDO::FETCH_ASSOC);
//echo passwords
echo  'Password from form: ' . $password . '<br />';
echo 'Password from DB: ' . $data_array['password'] . '<br />';
//verify password
if (password_verify($password , $data_array)) {
    echo 'success';
    exit();
}else{
    echo 'Try again m9';
    exit();
}

//if $_POST password and $hashedpassword match then start session

$stmt->close();
$mcon->close();

Answer 1

这不是答案，但对您仍然有用。不要过滤密码（WHERE 子句），而是过滤用户名：

$stmt = $mcon->prepare("SELECT password FROM members WHERE username=:username");
$stmt->bindParam(":username", $username);
$stmt->execute();

此外，不要将密码存储在数据库中，即使是加密的也不要。只是存储了哈希值和盐值。通过随机化更改每个密码的盐值。

如果你真的需要实现安全，你至少应该阅读this 之类的东西，但事实是你阅读和学习的越多越好，你真正需要知道多少才能拥有一个没有限制安全的网站，如果真的存在这样的事情的话。

也许框架会更好，例如 Laravel 或 Symfony。他们有插件来处理这些细节，你不可能希望编写任何接近这些安全标准的东西。

只是为了向您展示有关 Top 10 PHP attacks on OWASP 的代码是多么不安全。

Answer 2

代码中的另一个错误：函数password_verify 需要哈希字符串作为第二个参数。不要将此与 php-hash-datastructure 混淆。所以你需要这样称呼它：

$password_input = $_POST['password'];
password_verify($password_input , $data_array['password']);

见http://php.net/manual/de/function.password-verify.php

当然，PID的答案也是对的，你需要用用户名而不是密码来查找用户。