ユーザーのパスワードを処理する最も安全な方法は、プレーンテキストの保存ではなく、暗號(hào)化されたストレージを使用することです。 1。PhpのPassword_hash（）関數(shù)を使用してパスワードを暗號(hào)化すると、塩値を手動(dòng)で指定することなく、bcryptアルゴリズムがデフォルトで使用されます。 2。パスワード_verify（）を使用して、ログイン検証中に一定の時(shí)間を比較して、タイミング攻撃を防ぎます。 3.パフォーマンスバランスに注意を払って、コストパラメーターを調(diào)整することで暗號(hào)化強(qiáng)度を改善できます。 4.アルゴリズムのアップグレードが必要な場(chǎng)合は、password_needs_rehash（）を使用してArgon2およびその他の安全なアルゴリズムに移行できます。 5. MD5、SHA1、CRYPT、またはカスタム暗號(hào)化ロジックを使用して、プレーンテキストまたは統(tǒng)一された塩値貯蔵を排除しないでください。各ステップにより、パスワードが漏れた後もまだクラックすることが依然として困難であることが保証されます。

ユーザーのパスワードを処理する最も安全な方法は、単に保存することではなく、データが漏れていても、ユーザーのパスワードが簡(jiǎn)単にクラックされないようにすることです。 PHPでは、これを行うのは複雑ではありません。適切な方法を使用してください。

password_hash()を使用してパスワードを保存します

PHPは非常に便利な機(jī)能を提供します： password_hash() 。これは、ユーザーパスワードを安全に暗號(hào)化するために特別に使用されます。この関數(shù)は、デフォルトでBCRYPTアルゴリズムを使用します。これは、ほとんどのシナリオのニーズを満たすのに十分です。

これを書くだけです：

 $ hashedpassword = password_hash（$ userinputpassword、password_default）;

ここで、 $userInputPasswordはユーザーが入力したプレーンテキストパスワードです。生成されたハッシュ値は、データベースに直接保存できます。

小さな詳細(xì)：自分で塩を指定しないでください、 password_hash()を自動(dòng)的に生成します。塩を手動(dòng)で管理することは、エラーが発生しやすいだけでなく、セキュリティを減らす可能性もあります。

password_verify()でログインを確認(rèn)する

ユーザーがログインすると、パスワードを直接比較できません。正しい方法は、ユーザーが入力したパスワードとデータベースに保存されたハッシュ値を確認(rèn)することです。

 if（password_verify（$ userinputpassword、$ storedhash））{
    //パスワードが正しい} else {
    //パスワードエラー}

この関數(shù)は、ハッシュアルゴリズムと塩値を自動(dòng)的に処理し、ハッシュストリングを自分で分解または処理する必要はありません。

注： password_verify()は、タイミング攻撃を防ぐことができる一定の時(shí)間比較です。

パスワードポリシーとアルゴリズムの構(gòu)成を定期的に更新します

PASSWORD_DEFAULTデフォルトでBCRyptをポイントしますが、セキュリティ要件が高い場(chǎng)合は、コストパラメーターを手動(dòng)で調(diào)整して計(jì)算強(qiáng)度を高めることができます。

 $ options = [
    'cost' => 12、
];
$ hashedpassword = password_hash（$ password、password_default、$ options）;

ただし、コストが高すぎるとサーバーのパフォーマンスにも影響するため、実際のサーバー構(gòu)成に基づいて適切なコスト値を選択することをお?jiǎng)幛幛筏蓼埂?/p>

さらに、テクノロジーの開(kāi)発により、將來(lái)BCRyptを置き換えるより良いアルゴリズムがあるかもしれません。たとえば、ある日Argon2（PHP 7.2サポート）に移行する必要がある場(chǎng)合は、 PASSWORD_ARGON2Iまたはその他のバリアントを使用できます。

移行中に、 password_needs_rehash()関數(shù)を使用して、再暗號(hào)化が必要かどうかを判斷できます。

 if（password_needs_rehash（$ storedhash、password_default、['cost' => 12]））{
    $ newhash = password_hash（$ password、password_default、['cost' => 12]）;
    //データベースでパスワードハッシュを更新}

すべきではないことのリスト

• md5() 、 sha1() 、またはcrypt()を使用しないでください。これらの方法はもはや安全ではありません。
• 「「システムが公開(kāi)されない」と思われても、パスワードを明示的に保存しないでください。
• cald同じ塩ですべてのユーザーのパスワードを暗號(hào)化しないでください。
• casssible自分でパスワード暗號(hào)化ロジックを?qū)g裝しようとしないでください。

基本的にそれだけです。簡(jiǎn)単に思えるかもしれませんが、すべてのステップが重要です。

以上がPHPでユーザーパスワードを処理する安全な方法を説明してください。の詳細(xì)內(nèi)容です。詳細(xì)については、PHP 中國(guó)語(yǔ) Web サイトの他の関連記事を參照してください。