如何使用password_verify 檢查用戶輸入的密碼是否正確

gitbox 2025-05-29

在PHP 中驗證用戶密碼是否正確，推薦且最安全的方法之一是使用password_verify()函數。這個函數自PHP 5.5 起引入，專為處理通過password_hash()加密過的密碼而設計。相比早期的明文比對或使用MD5/SHA1 散列的做法， password_verify()更加安全，因為它支持bcrypt 和其他更強大的哈希算法。

基本用法

使用password_verify()的典型場景是在用戶登錄時，將其輸入的密碼與數據庫中存儲的密碼哈希進行比對。下面是一個最基本的示例：

<code> <?php // 用戶輸入的密碼$inputPassword = $_POST['password'];

// 從數據庫中獲取的哈希密碼（例如，註冊時通過password_hash() 生成）
$storedHash = '$2y$10$nOUIs5kJ7naTuTFkBy1veuEvS1ZrWgFzKtFZ7VF6hG8NqZ5U2YfHy';

if (password_verify($inputPassword, $storedHash)) {
echo "密碼正確，允許登錄";
} else {
echo "密碼錯誤";
}
?>
</code>

方法一：結合數據庫使用

在實際應用中，密碼哈希一般存儲在數據庫中。在驗證時，需要從數據庫讀取用戶對應的哈希，再與用戶輸入密碼進行比對：

<code> <?php // 假設通過POST 傳入用戶名和密碼$username = $_POST['username']; $password = $_POST['password'];

// 數據庫連接（示例使用PDO）
$pdo = new PDO('mysql:host=localhost;dbname=myapp', 'dbuser', 'dbpass');

// 查詢用戶密碼哈希
$stmt = $pdo->prepare("SELECT password_hash FROM users WHERE username = ?");
$stmt->execute([$username]);
$hash = $stmt->fetchColumn();

if ($hash && password_verify($password, $hash)) {
echo "登錄成功";
} else {
echo "用戶名或密碼錯誤";
}
?>
</code>

方法二：自動重建過期哈希

使用password_verify()時，如果發現舊的哈希算法已不再推薦使用（例如參數過期），可以配合password_needs_rehash()自動升級密碼哈希：

<code> <?php $options = ['cost' => 12]; if (password_verify($password, $hash)) { if (password_needs_rehash($hash, PASSWORD_DEFAULT, $options)) { $newHash = password_hash($password, PASSWORD_DEFAULT, $options); // 更新數據庫中該用戶的哈希$stmt = $pdo->prepare("UPDATE users SET password_hash = ? WHERE username = ?"); $stmt->execute([$newHash, $username]); } echo "登錄成功，密碼哈希已更新"; } else { echo "密碼錯誤"; } ?> </code>

方法三：使用接口封裝驗證邏輯

為了項目的可維護性，推薦將密碼驗證邏輯封裝為一個獨立的方法或類，集中管理密碼處理策略。例如：

調用方式：

注意事項

不要手動對用戶輸入的密碼進行哈希再與數據庫對比， password_verify()內部會處理好鹽值和哈希算法。
避免使用舊的哈希函數如md5()或sha1() ，它們在現代攻擊手段面前已經不安全。
哈希字符串不可逆，不可用於還原原始密碼。
每次使用password_hash()生成的哈希都是不同的，但都能通過password_verify()驗證。

小結

使用password_verify()是實現安全用戶認證的關鍵環節之一。它不僅使用了現代哈希算法，還簡化了開發者的驗證邏輯，並為密碼哈希升級提供便利。在實際項目中，建議結合數據庫操作、封裝邏輯和自動重建機制，構建一個穩固的密碼驗證體系。

更多關於password_verify()和密碼處理的最佳實踐可以參考官方文檔或訪問https://gitbox.net/docs/php-password-security 。