使用hash_final 和hash_equals 比較哈希值的方法

hash_final是PHP 中一個用於從哈希上下文中獲取最終哈希值的函數。通常， hash_final會與hash_init和hash_update函數一起使用，用於逐步構建哈希值。 hash_final生成的哈希值是不可變的。

hash_final函數語法：

 string hash_final ( resource $context [, bool $raw_output = false ] )

• $context ：通過hash_init和hash_update等函數創建的哈希上下文。

• $raw_output ：如果為true ，將返回原始二進制數據；如果為false （默認值），將返回十六進製字符串。

示例：

 <?php
$data = "Hello, World!";
$context = hash_init('sha256');
hash_update($context, $data);
$hash = hash_final($context);

echo "Hash value: " . $hash;
?>

輸出結果：

 Hash value: a591a6d40bf420404a011733cfb7b190d62c65bf0bcda01c8007c6f4adf4a0a2

在這個例子中，我們使用hash_init初始化一個SHA-256 哈希上下文，利用hash_update更新哈希數據，並通過hash_final獲取最終的哈希值。

2. hash_equals函數簡介

hash_equals函數是PHP 中用於安全比較兩個哈希值的函數。它是防止時間攻擊的關鍵工具。在沒有hash_equals時，簡單的==運算符比較哈希值可能因為字符串長度的不同而導致時間洩漏，這可以被黑客利用來推測某些信息。

hash_equals通過比較兩個字符串的哈希值，確保在任何情況下都消耗相同的時間，因此避免了時間攻擊。

hash_equals函數語法：

 bool hash_equals ( string $known_string , string $user_string )

• $known_string ：已知的哈希值（通常是存儲在數據庫中的哈希值）。

• $user_string ：用戶輸入的哈希值。

示例：

 <?php
$stored_hash = "a591a6d40bf420404a011733cfb7b190d62c65bf0bcda01c8007c6f4adf4a0a2";
$user_input = "Hello, World!";

if (hash_equals($stored_hash, hash('sha256', $user_input))) {
    echo "The hashes match.";
} else {
    echo "The hashes do not match.";
}
?>

輸出結果：

 The hashes match.

在這個例子中， hash_equals被用來安全地比較存儲的哈希值和用戶輸入的哈希值。如果兩個哈希值相等，意味著輸入正確。

3. 結合使用hash_final和hash_equals

通常，我們會將hash_final和hash_equals一起使用，以確保安全地計算並比較哈希值。例如，在處理密碼驗證時，我們會先使用hash_final創建密碼的哈希值，然後使用hash_equals將用戶輸入的密碼與存儲在數據庫中的哈希值進行安全比較。

完整示例：

 <?php
// 假設用戶提交的密碼
$user_input_password = "user_password123";

// 存儲在數據庫中的密碼哈希（例子中直接硬編碼）
$stored_password_hash = "a591a6d40bf420404a011733cfb7b190d62c65bf0bcda01c8007c6f4adf4a0a2";

// 通過 hash_final 計算輸入密碼的哈希值
$context = hash_init('sha256');
hash_update($context, $user_input_password);
$user_input_hash = hash_final($context);

// 使用 hash_equals 安全地比較密碼哈希值
if (hash_equals($stored_password_hash, $user_input_hash)) {
    echo "Password is correct.";
} else {
    echo "Password is incorrect.";
}
?>

輸出結果：

 Password is correct.

在這個例子中，我們使用hash_final計算用戶輸入密碼的哈希值，然後通過hash_equals與存儲的哈希值進行比較。這樣，我們確保了哈希值比較的安全性，防止了可能的時間攻擊。