答案：PHP中应使用password_hash()和password_verify()函数安全处理密码，底层采用bcrypt算法并自动加盐，防止彩虹表攻击；通过PASSWORD_DEFAULT确保未来兼容性，验证时用password_verify()比对密码，结合password_needs_rehash()可动态升级哈希强度，避免明文存储或使用弱哈希算法如md5、sha1。
在PHP中处理用户密码时，必须使用安全的哈希算法来保护敏感信息。明文存储密码是严重安全漏洞，推荐的做法是使用PHP内置的密码哈希函数，确保密码即使数据库泄露也不会轻易被破解。
推荐算法：password\_hash() 与 password\_verify()
PHP从5.5版本开始提供 password\_hash() 和 password\_verify() 两个函数，底层默认使用 **bcrypt** 算法，是目前官方推荐的安全方式。
bcrypt的优势在于支持“成本（cost）”参数，可以调节计算强度，抵御暴力破解。它还会自动加盐（salt），避免彩虹表攻击。
示例：密码哈希生成
立即学习“PHP免费学习笔记（深入）”；
$plaintextPassword = "user_password_123"; $hashedPassword = password_hash($plaintextPassword, PASSWORD_DEFAULT);// 输出类似：$2y$10$xxxxxxxxxxxxxxxxxxxxx... echo $hashedPassword;
说明：
- PASSWORD\_DEFAULT 当前指向 bcrypt，未来PHP升级可能切换算法，但兼容性有保障。
- 无需手动管理 salt，函数内部自动生成并嵌入哈希字符串中。
验证用户输入的密码
登录时不能反向解密哈希值，应使用 password\_verify() 函数比对明文密码与存储的哈希是否匹配。
示例：密码验证
$inputPassword = "user_password_123"; $storedHash = "$2y$10$xxxxxxxxxxxxxxxxxxxxx..."; // 来自数据库if (password_verify($inputPassword, $storedHash)) { echo "登录成功"; } else { echo "用户名或密码错误"; }
注意点：
- password\_verify() 返回布尔值，true表示匹配。
- 即使哈希使用了不同盐值，只要原始密码一致，验证仍能通过。
安全增强：控制哈希成本
可以通过 options 参数调整哈希运算的复杂度（cost），默认为10。数值越高越安全，但也更耗资源。
$hashedPassword = password_hash($password, PASSWORD_DEFAULT, [
'cost' => 12
]);
建议：
- 在服务器性能允许的前提下，尽量使用较高的 cost 值（如12）。
- 部署前做压力测试，避免登录响应过慢。
升级旧哈希：password\_needs\_rehash()
当系统调整了 cost 参数或更换算法后，可用此函数检测是否需要重新哈希用户密码。
if (password_verify($inputPassword, $storedHash)) {
if (password_needs_rehash($storedHash, PASSWORD_DEFAULT, ['cost' => 12])) {
// 用户密码正确，但哈希参数过旧，更新存储
$newHash = password_hash($inputPassword, PASSWORD_DEFAULT, ['cost' => 12]);
// 更新数据库中的哈希值
}
// 允许登录
}
这种方式可以在用户登录时逐步升级旧密码哈希，提升整体安全性。
基本上就这些。使用 password\_hash 和 password\_verify 是PHP中最简单又最安全的密码处理方式，不复杂但容易忽略细节。只要坚持不用 md5 或 sha1 明文哈希，就能避免大多数安全问题。
