脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 网络编程 → PHP编程 → php技巧 → PHP密码加密机制Bcrypt

PHP更安全的密码加密机制Bcrypt详解

 更新时间：2017年06月18日 10:23:32   作者：袖之欢  
这篇文章主要给大家介绍了关于PHP更安全的密码加密机制Bcrypt的相关资料，文中介绍的非常详细，对大家具有一定的参考学习价值，需要的朋友们下面来一起学习学习吧。

前言

我们常常为了避免在服务器受到攻击，数据库被拖库时，用户的明文密码不被泄露，一般会对密码进行单向不可逆加密——哈希。

常见的方式是：

哈希方式 加密密码
md5(‘123456') e10adc3949ba59abbe56e057f20f883e
md5(‘123456' . ($salt = ‘salt')) 207acd61a3c1bd506d7e9a4535359f8a
sha1(‘123456') 40位密文
hash(‘sha256', ‘123456') 64位密文
hash(‘sha512', ‘123456') 128位密文

密文越长，在相同机器上，进行撞库消耗的时间越长，相对越安全。

比较常见的哈希方式是 md5 + 盐，避免用户设置简单密码，被轻松破解。

password_hash

但是，现在要推荐的是 password_hash() 函数，可以轻松对密码实现加盐加密，而且几乎不能破解。

$password = '123456';
 
var_dump(password_hash($password, PASSWORD_DEFAULT));
var_dump(password_hash($password, PASSWORD_DEFAULT));

password_hash 生成的哈希长度是 PASSWORD_BCRYPT —— 60位，PASSWORD_DEFAULT —— 60位 ~ 255位。PASSWORD_DEFAULT 取值跟 php 版本有关系，会等于其他值，但不影响使用。

每一次 password_hash 运行结果都不一样，因此需要使用 password_verify 函数进行验证。

$password = '123456';
 
$hash = password_hash($password, PASSWORD_DEFAULT);
var_dump(password_verify($password, $hash));

password_hash 会把计算 hash 的所有参数都存储在 hash 结果中，可以使用 password_get_info 获取相关信息。

$password = '123456';
$hash = password_hash($password, PASSWORD_DEFAULT);
var_dump(password_get_info($hash));

输出

array(3) {
 ["algo"]=>
 int(1)
 ["algoName"]=>
 string(6) "bcrypt"
 ["options"]=>
 array(1) {
 ["cost"]=>
 int(10)
 }
}

注意：不包含 salt

可以看出我当前版本的 PHP 使用 PASSWORD_DEFAULT 实际是使用 PASSWORD_BCRYPT。

password_hash($password, $algo, $options) 的第三个参数 $options 支持设置至少 22 位的 salt。但仍然强烈推荐使用 PHP 默认生成的 salt，不要主动设置 salt。

当要更新加密算法和加密选项时，可以通过 password_needs_rehash 判断是否需要重新加密，下面的代码是一段官方示例

$options = array('cost' => 11);
// Verify stored hash against plain-text password
if (password_verify($password, $hash))
{
 // Check if a newer hashing algorithm is available
 // or the cost has changed
 if (password_needs_rehash($hash, PASSWORD_DEFAULT, $options))
 {
  // If so, create a new hash, and replace the old one
  $newHash = password_hash($password, PASSWORD_DEFAULT, $options);
 }
 // Log user in
}

password_needs_rehash 可以理解为比较 $algo + $option 和 password_get_info($hash) 返回值。

password_hash 运算慢

password_hash 是出了名的运行慢，也就意味着在相同时间内，密码重试次数少，泄露风险降低。

$password = '123456';
var_dump(microtime(true));
var_dump(password_hash($password, PASSWORD_DEFAULT));
var_dump(microtime(true));
 
echo "\n";
 
var_dump(microtime(true));
var_dump(md5($password));
for ($i = 0; $i < 999; $i++)
{
 md5($password);
}
var_dump(microtime(true));

输出

float(1495594920.7034)
string(60) "$2y$10$9ZLvgzqmiZPEkYiIUchT6eUJqebekOAjFQO8/jW/Q6DMrmWNn0PDm"
float(1495594920.7818)

float(1495594920.7818)
string(32) "e10adc3949ba59abbe56e057f20f883e"
float(1495594920.7823)

password_hash 运行一次耗时 784 毫秒， md5 运行 1000 次耗时 5 毫秒。这是一个非常粗略的比较，跟运行机器有关，但也可以看出 password_hash 运行确实非常慢。

总结

以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作能带来一定的帮助，如果有疑问大家可以留言交流，谢谢大家对脚本之家的支持。

您可能感兴趣的文章:

相关文章

  • PHP中explode函数和split函数的区别小结

    PHP中explode函数和split函数的区别小结

    相信大家都知道，explode和split在php中都是可以通过特定字符把字符串转换成数组的，那么explode和split既然是一样的为什么会有两个函数呢，那么explode和split的区别在哪里呢，下面跟着小编我们一起来看看。
    2016-08-08
  • PHP 调试工具Debug Tools

    PHP 调试工具Debug Tools

    发现了个调试PHP源码的好同志: PHP DEBUG TOOLS，需要的朋友可以参考下。
    2011-04-04
  • kindeditor 加入七牛云上传的实例讲解

    kindeditor 加入七牛云上传的实例讲解

    下面小编就为大家带来一篇kindeditor 加入七牛云上传的实例讲解。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧
    2017-11-11
  • PHP查找一列有序数组是否包含某值的方法

    PHP查找一列有序数组是否包含某值的方法

    在本篇文章里小编给大家整理了关于PHP查找一列有序数组是否包含某值的方法，有需要的朋友们可以参考下。
    2020-02-02
  • php实现encode64编码类实例

    php实现encode64编码类实例

    这篇文章主要介绍了php实现encode64编码类,实例分析了php实现encode64编码的技巧,具有一定参考借鉴价值,需要的朋友可以参考下
    2015-03-03
  • php设计模式 Command(命令模式)

    php设计模式 Command(命令模式)

    将一个请求封装为一个对象从而使你可用不同的请求对客户进行参数化,对请求排除或记录请求日志,以及支持可取消的操作
    2011-06-06
  • 隐藏Nginx或Apache以及PHP的版本号的方法

    隐藏Nginx或Apache以及PHP的版本号的方法

    这篇文章主要介绍了隐藏Nginx或Apache以及PHP的版本号的方法,主要用来防止针对性的漏洞攻击,需要的朋友可以参考下
    2016-01-01
  • PHP set_time_limit(0)长连接的实现分析

    PHP set_time_limit(0)长连接的实现分析

    每次我们访问PHP脚本的时候，都是当所有的PHP脚本执行完成后，我们才得到返回结果。如果我们需要一个脚本持续的运行，那么我们就要通过php长连接的方式，来达到运行目的。
    2010-03-03
  • php数据流中第K大元素的计算方法及代码分析

    php数据流中第K大元素的计算方法及代码分析

    在本篇文章里小编给大家整理了一篇关于php数据流中第K大元素的计算方法及代码分析内容，有兴趣的朋友们可以学习下。
    2021-07-07
  • PHP函数shuffle()取数组若干个随机元素的方法分析

    PHP函数shuffle()取数组若干个随机元素的方法分析

    这篇文章主要介绍了PHP函数shuffle()取数组若干个随机元素的方法,结合实例形式详细分析了shuffle函数的功能,定义,使用方法与相关注意事项,需要的朋友可以参考下
    2016-04-04

最新评论