Comment hacher et vérifier les mots de passe à l'aide de la fonction password_hash de PHP
P粉011684326
2023-08-17 20:41:00
<p>Dernièrement, j'ai essayé d'implémenter ma propre sécurité sur un script de connexion que j'ai trouvé sur Internet. En essayant d'apprendre un script sur la façon de générer un sel pour chaque utilisateur, je suis tombé sur <code>password_hash</code>. </p>
<p>D'après ce que j'ai compris (d'après la lecture de cette page), lorsque vous utilisez <code>password_hash</code>, le sel est déjà généré dans la ligne. est-ce réel? </p>
<p>J'ai une autre question, est-il sage d'utiliser deux sels ? L’un est stocké directement dans le fichier et l’autre est stocké dans la base de données ? De cette façon, si quelqu'un casse le sel dans la base de données, vous avez toujours un sel dans le fichier. J'ai lu ici que ce n'est jamais une bonne idée de conserver du sel, mais cela me laisse toujours perplexe quand les gens disent cela. </p>
Oui, vous l'avez bien compris, la fonction password_hash() va automatiquement générer un sel et l'inclure dans la valeur de hachage générée. Il est parfaitement correct de stocker le sel dans la base de données, cela fonctionnera même s'il est connu.
Le deuxième sel que vous avez mentionné (le sel stocké dans le fichier) est en fait une clé côté chili ou serveur. Si vous l'ajoutez avant le hachis (tout comme le sel), alors vous avez ajouté un piment. Mais il existe un meilleur moyen : vous pouvez d'abord calculer la valeur de hachage, puis chiffrer la valeur de hachage à l'aide de la clé côté serveur (cryptage bidirectionnel). De cette façon, vous pourrez changer la clé si nécessaire.
Contrairement au sel, cette clé doit rester secrète. Les gens sont souvent confus et essaient de cacher le sel, mais il est préférable de laisser le sel faire son travail et d'utiliser la clé pour ajouter le secret.
Utiliser
password_hash
est la méthode recommandée pour stocker les mots de passe. Ne les stockez pas séparément dans la base de données et les fichiers.Supposons que nous ayons l'entrée suivante :
Hachez d'abord le mot de passe par :
Ensuite, visualisez le résultat :
Comme vous pouvez le constater, il a été haché. (Je suppose que vous avez terminé ces étapes).
Stockez maintenant ce mot de passe haché dans votre base de données. Assurez-vous que la colonne de votre mot de passe est suffisamment grande pour accueillir la valeur de hachage (au moins 60 caractères ou plus) . Lorsqu'un utilisateur demande une connexion, vous pouvez vérifier si le hachage dans la base de données correspond au mot de passe saisi via :
Document officiel de référence