PHP password_hash() : Are password hashes portable between systems?

Question

我相信使用 PHP 的 password_hash() 函数散列的密码可以传输到不同的系统并且仍然可以成功地用于验证目的。

据我了解，bcrypt 散列包含所有必要的组件，当与纯文本密码结合使用时，可以验证给定的密码。因此，可以将哈希值带到具有兼容实现的任何系统并用于验证目的。

我很快就会尝试这个，但在此之前我想知道我的理论是否正确。

这是正确的吗？

Answer 1

是的，这是正确的。 password_verify 的文档状态:

Note that password_hash() returns the algorithm, cost and salt as part of the returned hash. Therefore, all information that's needed to verify the hash is included in it. This allows the verify function to verify the hash without needing separate storage for the salt or algorithm information.

当然，通过检查 password_hash 和 crypt 的输出也很容易看出这些信息(也就是说，概括地说，大部分是同一件事).