比较密码\u哈希为一个密码生成的两个哈希

Question

所以，我将用户密码通过password_hash（）散列（PHP5.5）后存储在数据库中。然后在使用密码_verify（）登录时验证用户。但现在我还想用cookies在用户浏览器上存储密码。我使用password\u散列对相同的密码进行散列，但这次散列的第二部分明显不同。（盐）

因此，两个哈希（数据库中的一个和cookie中的一个）不相等。那么我如何验证它们呢？？？

Answer 1

在cookie上存储用户凭证是高风险的。

若您在数据库中存储哈希密码，所以只需要传递用户名和密码，那个么将从其他文件中哈希并将其匹配到您的数据库中。

例如登录。php post用户名和密码

usercheck.phpmd5（密码）并将其检查到已经散列密码的数据库中

Answer 2

你想做的是重建会话。我建议你简单地使用会话。

如果出于任何原因不能，则生成一个随机字符串（使用类似于random\u compat的库）。

$token = random_bytes(16);

将字符串存储在数据库中：

INSERT INTO user_to_token (user_id, token) VALUES (?, ?)

但是，存储哈希，这样，如果数据库泄漏，攻击者将不知道原始令牌，因此无法窃取会话。

$query->execute([$userId, hash('sha256', $token)]);

然后，将cookie设置为原始值，bas64编码：

set_cookie("token", base64_encode($token));

现在，要验证、解码然后散列：

$token = hash('sha256', base64_decode($cookie));

然后从数据库中查找用户id：

SELECT user_id FROM user_to_token WHERE token = ?

你完成了。