PHP的password_hash()的行为

Question

我一直在研究加密密码的最佳方法，我决定继续使用BCRYPT，只是因为每次加密的成本和它通常被认为是目前最好的加密方法之一。

我使用的是双向盐，所以每个用户都有一个独特的盐，然后显然盐存储在我的应用程序中，我注意到一些相当奇怪的行为…根据PHP文档，这种行为是正常的吗？

不管怎样，下面是我使用的代码：

$Crypto = new Crypto;
echo $Crypto->encrypt( "123456789abcdefghijklm", "StackOverflow_Is_Awesome!" ); // First parameter being the "User Salt", second being the password.

// Above outputs $2y$13$123456789abcdefghijkleepFY8JLvsf2YbnWolqQyO3DIzrCeNIu

现在，Crypto类：

<?php
// ASSUMING $this->hashingSalt = HBSNi3y7ruhbVGkhdg83ijdbvghiojkgudL;JP
class Crypto {

private $hashingSalt, $database;

public function __construct( $salt )
{
    $this->hashingSalt = $salt;
    $this->database = new DatabaseFunctions();
}

public function encrypt( $salt, $password )
{
    $options = array(
        'cost' => 13,
        'salt' => $salt //22 chars
    );

    return password_hash( $password . $this->hashingSalt, PASSWORD_BCRYPT, $options);
}
}

所以，我感兴趣的是，为什么这个函数只是在输出字符串的开头添加选项中的salt集呢？这真的很令人困惑...因为这并不完全是我所说的安全，而是对我来说击败了对象。

有人能给我建议，试着解释一下我完全过去的事情吗？谢谢

PHP文档：http://PHP.net/manual/en/function.password-hash.PHP

Answer 1

salt是为了防止使用哈希值生成预先计算的表，一旦“坏人”得到哈希值，它就不会保持安全。

还有你正在做的事情：

然后很明显存储在我的应用程序中的盐