php - 使用 Taylor Hornby (Defuse) 的兼容版本进行密码哈希处理是否适用于所有 PHP 版本？

Question

我对使用 Taylor Hornby(又名 Defuse)的 PHP 密码哈希方法(PHP 兼容版本)感兴趣，我在这里找到了它:https://github.com/defuse/password-hashing

1. 它在 PHP 4 及更高版本中“安全”地工作吗？
2. 它能在不同的服务器上安全地工作吗？ 64 位会提供与 32 位相同的哈希值吗？

我问这个是因为不同的托管公司提供不同的 PHP 版本和不同的 Linux 版本，这就是为什么我不敢实现这种技术，它可能在我的开发服务器上工作得很好，但在生产服务器上却无法正常工作。

Answer 1

Does it work "safely" in PHP 4 and above?

这个问题是在 2014 年提出的；没有理由在那个时间点运行 PHP 4。请update to a supported version of PHP (e.g. 5.6)尽快地。如果这是您无法控制的，请抵制您的托管服务提供商(请提供名称，以便我们可以迫使他们更新)。

Does it work safely in different servers? a 64-bit will give the same hashes as a 32-bit?

是的，无论平台架构如何，Defuse 的代码都能很好地工作。但这不是这个问题的真正答案。

任何人都可以提供的最佳答案是您应该使用 password_hash()和 password_verify() ，它专为密码而设计，当当前默认值 (bcrypt) 过时(例如通过 scrypt 或 Argon2，即 Password Hashing Contest winner )时，将与新算法向前兼容。

这些函数在 PHP 5.5.0 及更新版本或 5.3.7 及更新版本中可用 ircmaxell/password_compat (由 PHP 5.5 中使用的函数的作者编写和维护)。

如果您使用的是旧版本的 PHP，最好的选择是使用 PHPass .