Oui, vous l'avez bien compris, la fonction password_hash() va automatiquement générer un sel et l'inclure dans la valeur de hachage générée. Stocker le sel dans la base de données est parfaitement correct et fonctionnera même s'il est connu.

// 为在数据库中存储的新密码生成哈希值。 // 该函数会自动生成一个密码学安全的盐。 $hashToStoreInDb = password_hash($_POST['password'], PASSWORD_DEFAULT); // 检查输入的登录密码的哈希值是否与存储的哈希值匹配。 // 盐和成本因素将从$existingHashFromDb中提取。 $isPasswordCorrect = password_verify($_POST['password'], $existingHashFromDb);

Le deuxième sel que vous avez mentionné (celui stocké dans le fichier) est en fait une clé "poivre" ou côté serveur. Si vous l'ajoutez avant le hachis (comme le sel), alors vous ajoutez une sorte de poivre. Cependant, il existe une meilleure méthode : vous pouvez d'abord calculer le hachage, puis chiffrer (chiffrement bidirectionnel) le hachage à l'aide d'une clé côté serveur. De cette façon, vous pourrez changer la clé si nécessaire.

Contrairement au sel, cette clé doit rester secrète. Les gens sont souvent confus et essaient de cacher le sel, mais il est préférable de laisser le sel faire son travail et d'utiliser la clé pour ajouter le secret.

Utiliserpassword_hashest la méthode recommandée pour stocker les mots de passe. Ne les stockez pas séparément dans la base de données et les fichiers.

Supposons que nous ayons l'entrée suivante :

$password = $_POST['password'];

Hachez d'abord le mot de passe par :

$hashed_password = password_hash($password, PASSWORD_DEFAULT);

Ensuite, visualisez le résultat :

var_dump($hashed_password);

Vous pouvez voir qu'il a été haché (je suppose que vous avez effectué ces étapes).

Stockez maintenant ce mot de passe haché dans la base de données.Assurez-vous que la colonne de votre mot de passe est suffisamment grande pour accueillir la valeur de hachage (au moins 60 caractères ou plus). Lorsque l'utilisateur demande à se connecter, vous pouvez vérifier si le hachage dans la base de données correspond au mot de passe saisi via :

// 查询数据库以获取用户名和密码 // ... if(password_verify($password, $hashed_password)) { // 如果密码输入与数据库中的哈希密码匹配 // 做一些操作，你懂的...登录他们。 } // 否则，将他们重定向回登录页面。

Référence officielle