清除用户密码

由于多种原因，您永远不应该对将使用 PHP 的 password_hash（） 进行哈希处理的密码进行转义、修剪或使用任何其他清理机制，其中最大的一个原因是因为对密码进行额外的清理需要不必要的额外代码。

你会争辩说（你在每篇接受用户数据用于你的系统的帖子中都能看到这一点）我们应该清理所有用户输入，而你对于我们从用户那里接受的所有其他信息都是正确的。密码是不同的。哈希密码不能提供任何 SQL 注入威胁，因为字符串在存储在数据库中之前会转换为哈希。

对密码进行哈希处理的行为是使密码安全地存储在数据库中的行为。哈希函数不会为任何字节赋予特殊含义，因此出于安全原因，不需要清理其输入

如果您遵循允许用户使用他们想要的密码/短语的口头禅，并且您不限制密码，则允许任何长度、任意数量的空格和任何特殊字符散列将使密码/密码安全，无论密码中包含什么。截至目前，最常见的哈希（默认值）PASSWORD_BCRYPT，将密码转换为一个 60 个字符宽的字符串，其中包含随机盐以及哈希密码信息和成本（创建哈希的算法成本）：

PASSWORD_BCRYPT 用于使用 CRYPT_BLOWFISH 算法创建新的密码哈希。这将始终导致使用“$2y$”加密格式的哈希值，该格式始终为 60 个字符宽。

存储哈希的空间要求可能会随着函数中添加不同的哈希方法而更改，因此最好在存储哈希的列类型上加大，例如 或 。VARCHAR(255)TEXT

您可以使用完整的 SQL 查询作为密码，它会被哈希处理，使其无法被 SQL 引擎执行，例如，

SELECT * FROM `users`;

可以散列到$2y$10$1tOKcWUWBW5gBka04tGMO.BH7gs/qjAHZsC5wyG0zmI2C.KgaqU5G

让我们看看不同的清理方法如何影响密码 -

密码是（密码末尾有 5 个空格，此处不显示。I'm a "dessert topping" & a <floor wax>!

当我们应用以下修剪方法时，我们会得到一些截然不同的结果：

var_dump(trim($_POST['upassword']));
var_dump(htmlentities($_POST['upassword']));
var_dump(htmlspecialchars($_POST['upassword']));
var_dump(addslashes($_POST['upassword']));
var_dump(strip_tags($_POST['upassword']));

结果：

string(40) "I'm a "dessert topping" & a <floor wax>!" // spaces at the end are missing
string(65) "I'm a &quot;dessert topping&quot; &amp; a &lt;floor wax&gt;!     " // double quotes, ampersand and braces have been changed
string(65) "I'm a &quot;dessert topping&quot; &amp; a &lt;floor wax&gt;!     " // same here
string(48) "I\'m a \"dessert topping\" & a <floor wax>!     " // escape characters have been added
string(34) "I'm a "dessert topping" & a !     " // looks like we have something missing

当我们将这些发送到时会发生什么？它们都会被哈希处理，就像上面的查询一样。当您尝试验证密码时，问题就出现了。如果我们使用其中一种或多种方法，我们必须在将它们与 password_verify（） 进行比较之前重新使用它们。以下操作将失败：password_hash()

password_verify($_POST['upassword'], $hashed_password); // where $hashed_password comes from a database query

在密码验证中使用结果之前，您必须通过您选择的清理方法运行发布的密码。这是一组不必要的步骤，不会使哈希值更好。

使用低于 5.5 的 PHP 版本？您可以使用兼容包。password_hash()

您真的不应该使用 MD5 密码哈希。

在对密码进行哈希处理之前，应按照 RFC 7613 第 4 节中的说明对其进行规范化。特别：

2. 附加映射规则：任何非 ASCII 空间的实例都必须 映射到 ASCII 空间 （U+0020）;非 ASCII 空格是任何 Unicode 具有 Unicode 通用类别“Zs”的码位（带有 U+0020 除外）。

和：

4. 规范化规则：Unicode 规范化形式 C （NFC） 必须是 应用于所有字符。

这试图确保如果用户键入相同的密码但使用不同的输入法，则仍应接受该密码。