La fa?on la plus s?re de gérer les mots de passe utilisateur est d'utiliser un stockage chiffré plut?t que l'enregistrement en texte clair. 1. Utilisez la fonction Password_Hash () de Php pour chiffrer les mots de passe, et l'algorithme BCrypt est utilisé par défaut, sans spécifier manuellement les valeurs de sel; 2. Utilisez Password_verify () pour comparer le temps constant pendant la vérification de connexion pour empêcher les attaques de synchronisation; 3. Vous pouvez améliorer la force du cryptage en ajustant les paramètres du co?t, tout en faisant attention au solde des performances; 4. Si vous avez besoin de mise à niveau d'algorithme, vous pouvez utiliser Password_needs_Hehash () pour migrer vers Argon2 et d'autres algorithmes plus s?rs; 5. évitez d'utiliser la logique de cryptage MD5, SHA1, Crypt ou personnalisée pour éliminer le stockage de valeur en texte en clair ou unifié. Chaque étape garantit que le mot de passe est toujours difficile à casser une fois qu'il est divulgué.

La fa?on la plus s?re de gérer les mots de passe de l'utilisateur n'est pas simplement de les enregistrer, mais pour s'assurer que même si les données sont divulguées, le mot de passe de l'utilisateur ne sera pas facilement craqué. En PHP, il n'est pas compliqué de le faire, utilisez simplement la bonne méthode.

Utilisez password_hash() pour stocker le mot de passe

PHP fournit une fonction très pratique: password_hash() , qui est spécialement utilisée pour crypter en toute sécurité les mots de passe utilisateur. Cette fonction utilise par défaut l'algorithme BCrypt, ce qui est suffisant pour répondre aux besoins de la plupart des scénarios.

Vous avez juste besoin d'écrire ceci:

 $ hashedpassword = mot de passe_hash ($ userInputpassword, mot de passe_default);

où $userInputPassword est le mot de passe en texte clair entré par l'utilisateur. La valeur de hachage générée peut être stockée directement dans la base de données.

Petits détails: ne spécifiez pas le sel vous-même, laissez password_hash() générer automatiquement. La gestion manuelle du sel est non seulement sujette aux erreurs, mais peut également réduire la sécurité.

Vérifiez la connexion avec password_verify()

Lorsque l'utilisateur se connecte, le mot de passe ne peut pas être directement comparé. La bonne fa?on consiste à vérifier le mot de passe entré par l'utilisateur et la valeur de hachage enregistrée dans la base de données:

 if (password_verify ($ userInputpassword, $ storedhash)) {
    // Le mot de passe est correct} else {
    // Erreur de mot de passe}

Cette fonction traitera automatiquement l'algorithme de hachage et les valeurs de sel, et vous n'avez pas besoin de démonter ou de traiter vous-même la cha?ne de hachage.

Remarque: password_verify() est une comparaison à temps constant qui peut empêcher les attaques de synchronisation.

Mettre à jour régulièrement les politiques de mot de passe et les configurations d'algorithmes

Bien que PASSWORD_DEFAULT pointe par défaut BCrypt, si vous avez des exigences de sécurité plus élevées, vous pouvez ajuster manuellement le paramètre de co?t pour augmenter l'intensité de calcul:

 $ options = [
    'Cost' => 12,
]]
$ hashedpassword = mot de passe_hash ($ mot de passe, mot de passe_default, $ options);

Cependant, des co?ts trop élevés affecteront également les performances du serveur, il est donc recommandé de sélectionner la valeur de co?t appropriée en fonction de la configuration du serveur réel.

De plus, avec le développement de la technologie, il peut y avoir de meilleurs algorithmes pour remplacer Bcrypt à l'avenir. Par exemple, si vous devez migrer vers Argon2 (support PHP 7.2) un jour, vous pouvez utiliser PASSWORD_ARGON2I ou d'autres variantes.

Pendant la migration, vous pouvez utiliser la fonction password_needs_rehash() pour déterminer si une réincryption est requise:

 if (password_needs_rehash ($ StoredHash, Password_Default, ['Cost' => 12])) {
    $ newhash = mot de passe_hash ($ mot de passe, mot de passe_default, ['cost' => 12]);
    // Mette à jour le hachage de mot de passe dans la base de données}

Liste de choses que vous ne devriez pas faire

• ? N'utilisez pas md5() , sha1() ou crypt() , ces méthodes ne sont plus s?res.
• ? Ne stockez pas de mots de passe explicitement, même si vous pensez que ?le système ne sera pas exposé?.
• ? Ne crypte pas tous les mots de passe de tous les utilisateurs avec le même sel.
• ? N'essayez pas d'implémenter vous-même la logique de cryptage des mots de passe.

Fondamentalement, c'est tout. Cela peut sembler simple, mais chaque étape est cruciale.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!