password_hash
(PHP 5 >= 5.5.0, PHP 7)
password_hash — Creates a password hash
描述
string password_hash ( string $password , integer $algo [, array $options ] )password_hash()使用强大的单向哈希算法创建新的密码哈希。password_hash()与crypt()兼容。因此，由crypt()创建的密码哈希可以与password_hash()一起使用。
目前支持以下算法：
PASSWORD_DEFAULT- 使用bcrypt算法（默认为PHP 5.5.0）。请注意，随着新的更强大的算法添加到PHP中，此常量将随时间而变化。出于这个原因，使用这个标识符的结果的长度会随着时间而改变。因此，建议将结果存储在可扩展超过60个字符的数据库列中（255个字符将是一个不错的选择）。
PASSWORD_BCRYPT- 使用CRYPT_BLOWFISH算法创建散列。这将使用“$2y$”标识符产生标准的crypt()兼容散列。结果将始终为60个字符的字符串，或者失败时返回FALSE。
支持的选项：
- 盐 - 在散列密码时手动提供salt以供使用。请注意，这将覆盖并防止salt自动生成。如果省略，每个密码散列都会通过password_hash()生成随机salt 。这是预定的操作模式。
- 警告 从PHP 7.0.0开始，salt选项已被弃用。现在首选简单地使用默认生成的。
- cost - 表示应该使用的算法成本。这些值的例子可以在crypt()页面找到。
如果省略，则使用默认值10。这是一个很好的基准成本，但您可能需要考虑根据您的硬件来增加它。
参数
password
用户的密码。
警告
使用PASSWORD_BCRYPT算法将导致password参数被截断为最大长度为72个字符。
algo
一个密码算法constant表示的散列算法的密码时使用。
options
包含选项的关联数组。有关每种算法支持的选项的文档，请参阅密码算法常量。
如果省略，则会创建一个随机salt，并使用默认成本。
返回值
返回哈希密码，或者失败时返回FALSE。
所使用的算法，成本和盐将作为散列的一部分返回。因此，所有需要验证散列的信息都包含在其中。这允许password_verify()函数验证散列，而不需要单独存储salt或算法信息。
示例
Example #1 password_hash() example
<?php
/**
* We just want to hash our password using the current DEFAULT algorithm.
* This is presently BCRYPT, and will produce a 60 character result.
*
* Beware that DEFAULT may change over time, so you would want to prepare
* By allowing your storage to expand past 60 characters (255 would be good)
*/
echo password_hash("rasmuslerdorf", PASSWORD_DEFAULT);
?>上面的例子会输出类似于：
$2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a示例＃2 password_hash()手动设置成本示例
<?php
/**
* In this case, we want to increase the default cost for BCRYPT to 12.
* Note that we also switched to BCRYPT, which will always be 60 characters.
*/
$options = [
'cost' => 12,
];
echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options);
?>上面的例子会输出类似于：
$2y$12$QjSH496pcT5CEbzjD/vtVeH03tfHKFy36d4J0Ltp3lRtee9HDxY3K示例＃3 password_hash()手动设置salt的示例
<?php
/**
* Note that the salt here is randomly generated.
* Never use a static salt or one that is not randomly generated.
*
* For the VAST majority of use-cases, let password_hash generate the salt randomly for you
*/
$options = [
'cost' => 11,
'salt' => mcrypt_create_iv(22, MCRYPT_DEV_URANDOM),
];
echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options);
?>上面的例子会输出类似于：
$2y$11$q5MkhSBtlsJcNEVsYh64a.aCluzHnGog7TQAKVmQwO9C8xb.t89F.示例＃4 password_hash()示例找到了很好的成本
<?php
/**
* This code will benchmark your server to determine how high of a cost you can
* afford. You want to set the highest cost that you can without slowing down
* you server too much. 8-10 is a good baseline, and more is good if your servers
* are fast enough. The code below aims for ≤ 50 milliseconds stretching time,
* which is a good baseline for systems handling interactive logins.
*/
$timeTarget = 0.05; // 50 milliseconds
$cost = 8;
do {
$cost++;
$start = microtime(true);
password_hash("test", PASSWORD_BCRYPT, ["cost" => $cost]);
$end = microtime(true);
} while (($end - $start) < $timeTarget);
echo "Appropriate Cost Found: " . $cost;
?>上面的例子会输出类似于：
Appropriate Cost Found: 10Notes
警告
强烈建议您不要为此函数生成自己的salt。如果你没有指定，它会自动为你创建一个安全的salt。
如上所述，在PHP 7.0中提供salt选项将生成弃用警告。手动提供salt的支持可能会在未来的PHP版本中被删除。
注意：建议您在服务器上测试此功能，并调整成本参数，以便在交互式系统上执行此功能的时间少于100毫秒。上例中的脚本将帮助您为硬件选择一个良好的成本价值。
注意：通过此功能更新支持的算法（或更改为默认算法）必须遵循以下规则：
- 任何新算法必须至少在PHP的核心版本中才能成为默认版本。因此，例如，如果在7.5.5中添加了新算法，那么直到7.7（因为7.6将是第一个完整版本），它将不符合缺省条件。但是，如果在7.6.0中添加了不同的算法，则它也可以在7.7.0处默认。
- 默认值只能在完整版本（7.3.0,8.0.0等）中更改，而不能在修订版本中更改。唯一的例外是在当前默认情况下发现严重安全缺陷时的紧急情况。
另请参阅
- password_verify() - 验证密码是否与散列匹配
- crypt() - 单向字符串散列
← password_get_info
password_needs_rehash →
本文档系腾讯云开发者社区成员共同维护，如有问题请联系 cloudcommunity@tencent.com
