php - password_hash 的盐存储在哪里？

Question

根据(相对)新的 PHP 文档:

password_hash函数使用随机盐(我们不应该担心.. O_O)，所以如果我理解正确，盐必须存储在某个地方，否则用户在注册到网站后将无法登录(不同的盐=>不同的哈希值。)

函数文档没有说明与数据库交互的任何信息，并且由于我认为存储每个用户的数据只能通过数据库进行扩展，那么该函数到底在哪里存储随机盐？像 session 数据这样的 txt 文件？

Answer 1

让我们从其他人告诉你的例子中学习:

$options = [
    'cost' => 11,
    'salt' => 'abcdefghijklmnopqrstuv',
];
echo password_hash("rasmuslerdorf", PASSWORD_DEFAULT, $options)."\n";

输出:

$2y$11$abcdefghijklmnopqrstuu7aZVUzfW85EB4mHER81Oudv/rT.rmWm

粗体部分是您的成本和盐，分别嵌入到生成的哈希中。

你可以把这个吐回password_verify它将相应地处理它:

print_r(password_verify('rasmuslerdorf', '$2y$11$abcdefghijklmnopqrstuu7aZVUzfW85EB4mHER81Oudv/rT.rmWm')); // true