关于PHP>=5.5时密码哈希校验的使用案例

逃离我推掉我的手 2022-06-02 00:56 238阅读 0赞

关于密码安全，一直都是各位开发者所关心的事，对于密码我们都是采用加密处理，PHP也提供了很多加密函数，如md5()、sha1()等等，但是我们一般不会单纯地对原密码直接进行加密，因为这样虽然加密了，但是强度过低，很容易遭遇不法分子破解。我们比较常用的是使用md5加salt来增强加密后的密码安全性，salt及盐值，这个值要随机生成，可在用户注册的时候和密码一起生成并保存到数据库中，用户登录验证的时候再把密码和盐值一起组合验证。如：md5(md5('php123456').'dsrfere34332')，类似于这样的加密方式，然后存进数据库，需要校验的时候取出来，再把原密码取出来加密与之比较即可，相对复杂的密码加盐处理后破解难度还是很大的。

PHP版本大于等于5.5，系统提供了4个密码哈希处理的函数，内核自带无需安装扩展。分别是password\_hash、password\_verify、password\_get\_info、password\_needs\_rehash。

我们接下来通过面向对象的方式进行使用案例说明：

index.php

<?php    
        require_once "Db.class.php";//引入数据库操作类
        require_once "User.class.php";//用户类
        require_once "db.config.php";//数据库配置文件
    
        $ac = trim($_GET['ac']);
        if(in_array($ac, get_class_methods('User'))){//判断方法名称是否正确
            $user = new User($host,$user,$pass,$dbname);
            extract($_POST);
            $hash = password_hash($password,PASSWORD_DEFAULT);//创建hash密码,60位长度，默认加密层级为10，根据自己需要可设置，硬件支持，最多为20。
            switch ($ac) {
                case 'login':
                    $data = $user->login($hash,$username);
                    if(password_verify($password,$data['pass_hash'])){//校验hash密码
                        $info = $user->update_logintime($data['id']);
                        unset($data['pass_hash']);
                        $user->output('200','Login successfully.',$data);
                    }else{
                        $user->output('400','Login unsuccessfully.',$data);
                    }
                    break;
                
                case 'register':
                    $id = $user->register($hash,$username);
                    $data = ['id' => $id];
                    $id ? $user->output('200','Register successfully.',$data) : $user->output('400','Register unsuccessfully.',$data);
                    break;
            }
        }else{
            exit('Method invalid.');
        }

Db.class.php文件

<?php
        class Db{
            private $_host;
            private $_user;
            private $_pass;
            private $_data_name;
            private $_conn;
            const CHARSET = 'set names utf8';
    
            public function __construct($host,$user,$pass,$dbname){
                $this->_host = $host;
                $this->_user = $user;
                $this->_pass = $pass;
                $this->_data_name = $dbname;
                $this->_conn = mysqli_connect($this->_host,$this->_user,$this->_pass,$this->_data_name);
                if(mysqli_connect_errno($this->_conn)){
                    exit("connect error:".mysqli_connect_error());
                }
                mysqli_query($this->_conn,self::CHARSET);
            }
    
            public function insert($sql){//插入语句
                $id = $this->query($sql);
                if($id){
                    return mysqli_insert_id($this->_conn);
                }else{
                    return false;
                }
            }
    
            public function select($sql){//查询语句查询多条
                $resource = $this->query($sql);
                if($resource){
                    while ($row =  mysqli_fetch_assoc($resource)) {
                        $result[] = $row;
                    }
                    return $result;
                }else{
                    return mysqli_error($this->_conn);
                }
            }
    
            public function update($sql){//修改语句
                $resource = $this->query($sql);
                if($resource){
                    return mysqli_affected_rows($this->_conn);
                }else{
                    return false;
                }
            }
    
            public function find($sql){//查询一条
                $result = $this->select($sql);
                return $result ? $result[0] : [];
            }
    
            public function query($sql){//执行语句
                $resource = mysqli_query($this->_conn,$sql);
                if($resource){
                    return $resource;
                }else{
                    return mysqli_error($this->_conn);
                }
            }
        }

User.class.php

<?php
        class User{
    
            private $_db;
    
            public function __construct($host,$user,$pass,$dbname){
                $this->_db = new Db($host,$user,$pass,$dbname);
            }
    
            public function register($pass_hash,$username){//注册
                $sql = "insert into hash_test(pass_hash,username,registertime) value('$pass_hash','$username',NOW())";
                return $this->_db->insert($sql);
            }
    
            public function login($pass_hash,$username){//登录
                $sql = "select id,pass_hash from hash_test where username = '$username'";
                return $this->_db->find($sql);
            }
    
            public function update_logintime($id){//修改登录时间
                $sql = "update hash_test set logintime = NOW() where id = $id";
                return $this->_db->update($sql);
            }
    
            public function output($code,$msg,$datas = []){//自定义接口返回格式
                $outputData = [
                    'code' => $code,
                    'msg' => $msg, 
                    'datas' => $datas 
                ];
                exit(json_encode($outputData));
            }
        }

db.config.php

<?php
        $host = '127.0.0.1';
        $user = 'root';
        $pass = '';
        $dbname = 'password_test';

数据库sql语句

/*
    Navicat MySQL Data Transfer
    
    Source Server         : localhost_3306
    Source Server Version : 50714
    Source Host           : localhost:3306
    Source Database       : password_test
    
    Target Server Type    : MYSQL
    Target Server Version : 50714
    File Encoding         : 65001
    
    Date: 2017-12-28 15:22:05
    */
    
    SET FOREIGN_KEY_CHECKS=0;
    
    -- ----------------------------
    -- Table structure for hash_test
    -- ----------------------------
    DROP TABLE IF EXISTS `hash_test`;
    CREATE TABLE `hash_test` (
      `id` int(10) unsigned NOT NULL AUTO_INCREMENT COMMENT '主键id',
      `pass_hash` varchar(60) NOT NULL COMMENT '密码哈希值',
      `username` varchar(50) NOT NULL COMMENT '用户名',
      `registertime` datetime NOT NULL COMMENT '注册时间',
      `logintime` datetime DEFAULT NULL COMMENT '登录时间',
      PRIMARY KEY (`id`)
    ) ENGINE=MyISAM AUTO_INCREMENT=46 DEFAULT CHARSET=utf8;

前台页面展示：

注册界面

![20171228152533051][]

登录界面

![20171228152416399][]

数据库截图

![20171228160657223][]

注册返回：

![20171228152606375][]

登录返回：

![20171228152644481][]

上述代码首先通过注册填写用户名和密码，对原密码进行哈希处理后存到数据库，登录时再通过用户名获取用户id和哈希密码，如果存在则将注册时加密的密码hash取出来，然后根据原密码的加密处理和数据库里面的哈希密码进行比对；然后使用password\_verify()函数验证密码，password\_verify()函数有两个参数，第一个参数是纯文本密码，第二个参数是用户数据表中读取出来的密码hash值。如果该函数返回true，说明密码正确，否则，密码错误，终止登录。

通过以上的案例，发现验证密码如此简单，通过password\_hash加密后的密码，使用字典方式很难破解，因为每次生成的密码都是不一样的,破解这种加密只能采用暴力破解。

[20171228152533051]: /images/20220602/25d15c874be747a9a4b4d58f1178aeef.png
[20171228152416399]: /images/20220602/67553c507845428e97804dcd3216f4e6.png
[20171228160657223]: /images/20220602/5552d94415e743cba4020561a5d6b925.png
[20171228152606375]: /images/20220602/0db3fc5426d641a6abee87df009f081d.png
[20171228152644481]: /images/20220602/8dca39ef484e46caaa858e3d84662fe1.png