中文(繁體)
中文(繁體)
在現代Web 開發中，確保用戶密碼的安全性是至關重要的。隨著技術的進步，新的加密算法不斷湧現，舊的算法可能會隨著時間的推移變得不再安全或不再適合當前的需求。因此，開發人員通常需要在不影響用戶體驗的情況下更換密碼加密算法。 PHP 提供了password_needs_rehash()函數，這使得密碼加密算法的平滑過渡變得更加簡單和高效。
password_needs_rehash()是PHP 內置的一個函數，用於檢查存儲的密碼是否需要重新加密。它的作用是判斷當前存儲的密碼哈希值是否與新的密碼加密算法匹配，或者是否滿足新的算法要求。通常情況下，當密碼加密算法發生變化時，開發者可以利用該函數在用戶登錄時自動更新密碼哈希，而不需要用戶手動重置密碼。
該函數的定義如下：
<span><span><span class="hljs-keyword">bool</span></span><span> </span><span><span class="hljs-title function_ invoke__">password_needs_rehash</span></span><span> ( </span><span><span class="hljs-keyword">string</span></span><span> </span><span><span class="hljs-variable">$hash</span></span><span> , </span><span><span class="hljs-keyword">int</span></span><span> </span><span><span class="hljs-variable">$algo</span></span><span> , </span><span><span class="hljs-keyword">array</span></span><span> </span><span><span class="hljs-variable">$options</span></span><span> )
</span></span>$hash ：存儲的密碼哈希值。
$algo ：新的加密算法（例如PASSWORD_BCRYPT 、 PASSWORD_ARGON2I等）。
$options ：可選的配置選項，通常是一個包含算法配置的數組，如bcrypt 的成本因子。
返回true如果密碼需要重新哈希，返回false如果不需要重新哈希。
當用戶登錄時，我們首先使用舊的加密算法驗證用戶輸入的密碼。此時，我們還需要檢查存儲的密碼哈希是否需要重新加密。如果需要，則使用新的算法對密碼進行加密，並更新數據庫中的哈希值。
在驗證用戶密碼成功後，可以通過password_needs_rehash()函數判斷當前存儲的密碼哈希是否符合新的加密算法要求。如果哈希值需要重新加密，使用新的算法進行加密並更新哈希。
假設我們原來使用的是PASSWORD_BCRYPT加密算法，現在需要升級到PASSWORD_ARGON2I 。
<span><span><span class="hljs-comment">// 獲取用戶輸入的密碼</span></span><span>
</span><span><span class="hljs-variable">$user_input_password</span></span><span> = </span><span><span class="hljs-variable">$_POST</span></span><span>[</span><span><span class="hljs-string">'password'</span></span><span>];
</span><span><span class="hljs-comment">// 從數據庫中獲取存儲的哈希值</span></span><span>
</span><span><span class="hljs-variable">$stored_hash</span></span><span> = </span><span><span class="hljs-title function_ invoke__">getUserHashFromDatabase</span></span><span>(</span><span><span class="hljs-variable">$user_id</span></span><span>);
</span><span><span class="hljs-comment">// 使用舊的加密算法驗證密碼</span></span><span>
</span><span><span class="hljs-keyword">if</span></span><span> (</span><span><span class="hljs-title function_ invoke__">password_verify</span></span><span>(</span><span><span class="hljs-variable">$user_input_password</span></span><span>, </span><span><span class="hljs-variable">$stored_hash</span></span><span>)) {
</span><span><span class="hljs-comment">// 如果哈希值需要重新加密</span></span><span>
</span><span><span class="hljs-keyword">if</span></span><span> (</span><span><span class="hljs-title function_ invoke__">password_needs_rehash</span></span><span>(</span><span><span class="hljs-variable">$stored_hash</span></span><span>, PASSWORD_ARGON2I, [</span><span><span class="hljs-string">'memory_cost'</span></span><span> => </span><span><span class="hljs-number">1</span></span><span> << </span><span><span class="hljs-number">17</span></span><span>, </span><span><span class="hljs-string">'time_cost'</span></span><span> => </span><span><span class="hljs-number">4</span></span><span>, </span><span><span class="hljs-string">'threads'</span></span><span> => </span><span><span class="hljs-number">2</span></span><span>])) {
</span><span><span class="hljs-comment">// 使用新的加密算法對密碼進行加密</span></span><span>
</span><span><span class="hljs-variable">$new_hash</span></span><span> = </span><span><span class="hljs-title function_ invoke__">password_hash</span></span><span>(</span><span><span class="hljs-variable">$user_input_password</span></span><span>, PASSWORD_ARGON2I, [</span><span><span class="hljs-string">'memory_cost'</span></span><span> => </span><span><span class="hljs-number">1</span></span><span> << </span><span><span class="hljs-number">17</span></span><span>, </span><span><span class="hljs-string">'time_cost'</span></span><span> => </span><span><span class="hljs-number">4</span></span><span>, </span><span><span class="hljs-string">'threads'</span></span><span> => </span><span><span class="hljs-number">2</span></span><span>]);
</span><span><span class="hljs-comment">// 更新數據庫中的哈希值</span></span><span>
</span><span><span class="hljs-title function_ invoke__">updateUserHashInDatabase</span></span><span>(</span><span><span class="hljs-variable">$user_id</span></span><span>, </span><span><span class="hljs-variable">$new_hash</span></span><span>);
}
</span><span><span class="hljs-comment">// 登錄成功，執行相應的操作</span></span><span>
</span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">"登錄成功！"</span></span><span>;
} </span><span><span class="hljs-keyword">else</span></span><span> {
</span><span><span class="hljs-comment">// 密碼錯誤</span></span><span>
</span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">"密碼錯誤！"</span></span><span>;
}
</span></span>password_verify() ：用於驗證用戶輸入的密碼是否與存儲的哈希值匹配。
password_needs_rehash() ：在驗證成功後，檢查存儲的哈希是否符合新的加密算法要求。如果需要重新加密，則執行後續步驟。
password_hash() ：用於使用新的加密算法對密碼進行加密。
updateUserHashInDatabase() ：將新的密碼哈希存儲到數據庫中。
使用password_needs_rehash()進行密碼加密算法更換時，最大的好處是用戶無需主動干預，系統可以在用戶登錄時自動完成密碼哈希的升級。這種方式帶來了幾個重要的優勢：
無縫升級：用戶只需要登錄一次，系統就會自動升級密碼加密算法，無需重新設置密碼。
提高安全性：通過逐步過渡到更安全的加密算法，系統可以提高整體的安全性，避免因使用過時的算法而導致的安全漏洞。
兼容性強：在更換加密算法的過程中，舊的哈希值依然有效，確保了系統的向後兼容性，不會影響已經註冊的用戶。
更換密碼加密算法是增強安全性的必要措施之一，但在實施時需要考慮用戶體驗以及系統的平滑過渡。 PHP 提供的password_needs_rehash()函數能夠幫助開發人員在不干擾用戶的情況下，平穩地將密碼加密算法從舊的算法遷移到新的算法。通過這種方式，可以提高系統的安全性，同時確保用戶的登錄體驗不會受到影響。
