如何将散列密码与用户输入进行比较？

Question

我试图匹配和验证用户通过$_POST输入的密码和数据库中的哈希密码。问题是，当我散列输入密码时，BCRYPT每次都会产生一个新的散列，这意味着没有两个散列是相同的，这不会给我匹配。我怎么可能匹配BCRYPT散列密码？感谢您的任何帮助！

登录：

$password = password_hash(htmlentities($_POST['password']), PASSWORD_BCRYPT, array(
'cost'=>14)); 

$stmt = $mcon->prepare("SELECT `password` FROM members WHERE password=:password");
$stmt->bindParam(":password", $password);
$stmt->execute();

//get_result
$data_array = $stmt->fetch(PDO::FETCH_ASSOC);
//echo passwords
echo  'Password from form: ' . $password . '<br />';
echo 'Password from DB: ' . $data_array['password'] . '<br />';
//verify password
if (password_verify($password , $data_array)) {
    echo 'success';
    exit();
}else{
    echo 'Try again m9';
    exit();
}

//if $_POST password and $hashedpassword match then start session

$stmt->close();
$mcon->close();

Answer 1

代码中的另一个错误：funtcionpassword_verify需要hash字符串作为第二个参数。不要将此与php-hash-data结构混淆。所以你需要这样称呼它：

$password_input = $_POST['password'];
password_verify($password_input , $data_array['password']);

看http://php.net/manual/de/function.password-verify.php

Answer 2

这不是一个答案，但它仍然对您有用。不要筛选密码（WHERE子句），而是筛选用户名：

$stmt = $mcon->prepare("SELECT password FROM members WHERE username=:username");
$stmt->bindParam(":username", $username);
$stmt->execute();

此外，不要在数据库中存储密码，即使是加密的密码。只是存储了散列值和salt值。通过随机化更改每个密码的salt。

如果你真的需要实施安全您至少应该阅读这样的东西但事实是越多你阅读和研究越好它是有没有限制多少你真的需要知道有一个安全的网站如果这样的事情真的存在。

也许一个框架会更好，比如Laravel或Symfony。他们有处理这些细节的插件，你不可能希望写任何接近这些安全标准的东西。

只是为了向您展示您的代码是如何不安全地阅读关于OWASP上的前10个PHP攻击。