PHP password_hash()，默认的还是自定义的salt？[副本]

Question

我正在考虑使用password_hash()函数来加密用户密码。据我所知，如果您不提供salt，这个函数将默认生成salt，甚至鼓励您使用默认的salt而不是您自己的salt。我目前正在权衡3个选择，不能决定哪一个去，所以如果你能帮助我，我会很感激。

1.选项:password_hash()和默认salt

$passwordInput = $_POST['password'];
$passwordHash = password_hash($passwordInput, PASSWORD_BCRYPT);
//INSERT $passwordHash INTO DATABASE

2.选项：带有自定义盐的password_hash()

$options = ['salt' => mcrypt_create_iv(22, MCRYPT_DEV_URANDOM)];
$passwordInput = $_POST['password'];
$passwordHash = password_hash($passwordInput, PASSWORD_BCRYPT, $options);
//INSERT $passwordHash INTO DATABASE

3.选项：根本不使用password_hash()

$salt = uniqid(rand(0, 1000000);
$passwordInput = $_POST['password'];
$password = hash('sha512', $salt . $passwordInput);
//INSERT $password AND $salt INTO DATABASE SEPARATELY

Answer 1

这个问题的简单答案是使用password_hash()和默认salt（您的第一个选项），在PHP7中不推荐使用自定义salt，因为引用php.net：

password_hash()函数的salt选项已被否决，以防止开发人员生成他们自己的（通常是不安全的）salt。当开发人员没有提供salt时，函数本身会生成加密安全的salt-因此不需要自定义salt生成。

同样，应该避免使用第三个选项hash()，因为您需要生成自己的salt。