PHP password_verify 错误地返回 false

Question

我对这个主题进行了广泛的搜索，但没有人遇到过我能找到的相同问题。

我在 MySQL 表中创建一个用户，使用强度为 10 的 password_hash 的散列。

我一直在努力验证它，并制作了一个测试脚本来实际验证我的发现。这是脚本:

public function testAction(){
    $data = new dataHandler;
    $data->table = "access";

    $hash1 = $data->insert(array('email'=>'test6@test.com', 'password'=>'ABC123.abc', 'password_confirm'=>'ABC123.abc', 'alias'=>'ABC123.abc'));

    $res = $data->find(array('email'=>'test6@test.com'));

    $hash2 = $res[0]['hash'];

    $test = password_verify('ABC123.abc', $hash1);
    $test2 = password_verify('ABC123.abc', $hash2);

    var_dump($test);
    echo "<br>";
    var_dump($test2);

    echo "<br><br>";

    echo "Length: " . strlen($hash1) . "<br>{$hash1}<br>Length: " . strlen($hash2) . "<br>{$hash2}";

    die();
}

为了验证我的脚本在存储时没有以某种方式做一些奇怪的事情，我使我的散列方法(从 insert() 方法中动态调用)直接回显散列:

public function createHash($password){
    $hash = password_hash($password, HASH);
    echo "Length: " . strlen($hash) . "<br>$hash<br>";
    return $hash;
}

这是 insert 方法。 cleanData 只是取消设置describe 中不可用的任何内容 - 它不会更改任何值。警告，由于大量调试等原因，目前它非常丑陋:

public function insert($data){
    if(!is_array($data)){
        return false;
    } else {
        $this->openDb();
        $ins = "";
        $fs = "";

        $data = $this->cleanData($data);

        foreach($data as $key => $field){
            if($key == "password"){
                $auth = new authorization;

                $key = "hash";
                $field = $auth->createHash($field);

                $data['hash'] = $field;



                unset($data["password"]);
            }

            $ins .= ":{$key}, ";
            $fs .= "`{$key}`, ";
            //$data[$key] = $this->DBH->quote($field);
        }

        $ins = rtrim($ins, ", ");
        $fs = rtrim($fs, ", ");

        try {

            # the shortcut!
            $this->DBH->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION );
            $this->DBH->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
            $STH = $this->DBH->prepare("INSERT INTO `" . $this->table . "` ($fs) value ($ins)");

            $STH->execute($data);

            $id = $this->DBH->lastInsertId();

            $this->closeDb();

            return $data['hash']; //Debugging
            return $id;
        } catch(PDOException $e) {
            $this->errHandler($e->getMessage());
        }
    }
}

现在，这是输出:

Length: 60
$2y$10$wGJxGjK4Lz4FgZ3OZJjBo.9lF7LE90p3Q5inOsBROQTU5FBVdj1LK
bool(true) 
bool(false) 

Length: 60
$2y$10$wGJxGjK4Lz4FgZ3OZJjBo.9lF7LE90p3Q5inOsBROQTU5FBVdj1LK
Length: 60
$2y$10$wGJxGjK4Lz4FgZ3OZJjBo.9lF7LE90p3Q5inOsBROQTU5FBVdj1LK

如您所见，两次 password_verify 尝试都失败了。第一个来自没有任何进一步操作的哈希生成，第二个来自数据库。

我做错了什么？

我在搜索时唯一能找到的是人们测试和使用双引号，或者随机的人为错误。然而，在我看来，这两者都不是。

Answer 1

密码散列是针对空字符串的，你自己试试看:

<?php
echo password_verify('', '$2y$10$4Y7kQNP/6XyBtQQ4zPI6ZuaelCjHdWE.kBRTUVk56J7PV4BQYWoUS')?'Y':'N';
?>

确保您向 createHash 传递一个有效的 $password。