常見的方式是：
密文越長，在相同機器上，進行撞庫消耗的時間越長，相對越安全。
比較常見的哈希方式是 md5 + 鹽，避免用戶設(shè)置簡單密碼，被輕松破解。
password_hash
但是，現(xiàn)在要推薦的是 password_hash() 函數(shù)，可以輕松對密碼實現(xiàn)加鹽加密，而且?guī)缀醪荒芷平狻?/p>
$password = '123456'; var_dump(password_hash($password, PASSWORD_DEFAULT)); var_dump(password_hash($password, PASSWORD_DEFAULT));
password_hash 生成的哈希長度是 PASSWORD_BCRYPT —— 60位，PASSWORD_DEFAULT —— 60位 ~ 255位。PASSWORD_DEFAULT 取值跟 php 版本有關(guān)系，會等于其他值，但不影響使用。
每一次 password_hash 運行結(jié)果都不一樣，因此需要使用 password_verify 函數(shù)進行驗證。
$password = '123456'; $hash = password_hash($password, PASSWORD_DEFAULT); var_dump(password_verify($password, $hash));
password_hash 會把計算 hash 的所有參數(shù)都存儲在 hash 結(jié)果中，可以使用 password_get_info 獲取相關(guān)信息。
$password = '123456'; $hash = password_hash($password, PASSWORD_DEFAULT); var_dump(password_get_info($hash));
輸出
array(3) {
["algo"]=>
int(1)
["algoName"]=>
string(6) "bcrypt"
["options"]=>
array(1) {
["cost"]=>
int(10)
}
}注意：不包含 salt
可以看出我當(dāng)前版本的 PHP 使用 PASSWORD_DEFAULT 實際是使用 PASSWORD_BCRYPT。
password_hash($password, $algo, $options) 的第三個參數(shù) $options 支持設(shè)置至少 22 位的 salt。但仍然強烈推薦使用 PHP 默認生成的 salt，不要主動設(shè)置 salt。
當(dāng)要更新加密算法和加密選項時，可以通過 password_needs_rehash 判斷是否需要重新加密，下面的代碼是一段官方示例
$options = array('cost' => 11);
// Verify stored hash against plain-text password
if (password_verify($password, $hash))
{
// Check if a newer hashing algorithm is available
// or the cost has changed
if (password_needs_rehash($hash, PASSWORD_DEFAULT, $options))
{
// If so, create a new hash, and replace the old one
$newHash = password_hash($password, PASSWORD_DEFAULT, $options);
}
// Log user in
}password_needs_rehash 可以理解為比較 $algo + $option 和 password_get_info($hash) 返回值。
password_hash 運算慢
password_hash 是出了名的運行慢，也就意味著在相同時間內(nèi)，密碼重試次數(shù)少，泄露風(fēng)險降低。
$password = '123456';
var_dump(microtime(true));
var_dump(password_hash($password, PASSWORD_DEFAULT));
var_dump(microtime(true));
echo "\n";
var_dump(microtime(true));
var_dump(md5($password));
for ($i = 0; $i < 999; $i++)
{
md5($password);
}
var_dump(microtime(true));輸出
float(1495594920.7034) string(60) "$2y$10$9ZLvgzqmiZPEkYiIUchT6eUJqebekOAjFQO8/jW/Q6DMrmWNn0PDm" float(1495594920.7818) float(1495594920.7818) string(32) "e10adc3949ba59abbe56e057f20f883e" float(1495594920.7823)
password_hash 運行一次耗時 784 毫秒， md5 運行 1000 次耗時 5 毫秒。這是一個非常粗略的比較，跟運行機器有關(guān)，但也可以看出 password_hash 運行確實非常慢。
相關(guān)推薦：
AES/RSA加密機制
jQuery加密cookie的實現(xiàn)方法
PHP如何更好的對密碼進行加密處理
以上就是PHP密碼加密機制Bcrypt詳解的詳細內(nèi)容，更多請關(guān)注php中文網(wǎng)其它相關(guān)文章！