Comment utiliser la fonction password_hash de PHP pour le hachage et la vérification des mots de passe

Question

Dernièrement, j'ai essayé d'implémenter ma propre sécurité sur un script de connexion que j'ai trouvé sur Internet. En essayant d'apprendre à générer un sel pour chaque utilisateur, je suis tombé sur password_hash.

D'après ce que j'ai compris (d'après la lecture de cette page), lors de l'utilisation de password_hash, le sel est déjà généré dans la ligne. est-ce réel?

J'ai une autre question, est-il sage d'utiliser deux sels ? Un directement dans le fichier et un dans la base de données ? De cette façon, si quelqu'un déchiffre le sel dans la base de données, vous avez toujours ce sel dans le fichier. J'ai lu ici que conserver le sel n'est jamais une bonne idée, mais j'ai toujours été confus par ce que les gens entendaient par là.

Answer 1

Oui, vous l'avez bien compris, la fonction password_hash() va automatiquement générer un sel et l'inclure dans la valeur de hachage générée. Stocker le sel dans la base de données est parfaitement correct et fonctionnera même s'il est connu.

// 为在数据库中存储的新密码生成哈希值。
// 该函数会自动生成一个密码学安全的盐。
$hashToStoreInDb = password_hash($_POST['password'], PASSWORD_DEFAULT);

// 检查输入的登录密码的哈希值是否与存储的哈希值匹配。
// 盐和成本因素将从$existingHashFromDb中提取。
$isPasswordCorrect = password_verify($_POST['password'], $existingHashFromDb);

Le deuxième sel que vous avez mentionné (celui stocké dans le fichier) est en fait une clé "poivre" ou côté serveur. Si vous l'ajoutez avant le hachis (comme le sel), alors vous ajoutez une sorte de poivre. Cependant, il existe une meilleure méthode : vous pouvez d'abord calculer le hachage, puis chiffrer (chiffrement bidirectionnel) le hachage à l'aide d'une clé côté serveur. De cette façon, vous pourrez changer la clé si nécessaire.

Contrairement au sel, cette clé doit rester secrète. Les gens sont souvent confus et essaient de cacher le sel, mais il est préférable de laisser le sel faire son travail et d'utiliser la clé pour ajouter le secret.

Answer 2

Utiliser password_hash est la méthode recommandée pour stocker les mots de passe. Ne les stockez pas séparément dans la base de données et les fichiers.

Supposons que nous ayons l'entrée suivante :

$password = $_POST['password'];

Hachez d'abord le mot de passe par :

$hashed_password = password_hash($password, PASSWORD_DEFAULT);

Ensuite, visualisez le résultat :

var_dump($hashed_password);

Vous pouvez voir qu'il a été haché (je suppose que vous avez effectué ces étapes).

Stockez maintenant ce mot de passe haché dans la base de données. Assurez-vous que la colonne de votre mot de passe est suffisamment grande pour accueillir la valeur de hachage (au moins 60 caractères ou plus) . Lorsque l'utilisateur demande à se connecter, vous pouvez vérifier si le hachage dans la base de données correspond au mot de passe saisi via :

// 查询数据库以获取用户名和密码
// ...

if(password_verify($password, $hashed_password)) {
    // 如果密码输入与数据库中的哈希密码匹配
    // 做一些操作，你懂的...登录他们。
} 

// 否则，将他们重定向回登录页面。

Référence officielle