Почему hash_password() каждый раз генерирует разное значение?

Question

[Матвей Мамонов]

Вопрос скорее не в том, почему (потому что итак понятно, что это из за соли, которая каждый раз разная), а в том, какой от этого смысл?

Если я запишу в базу такой сгенерированный пароль, а потом буду сравнивать введенное значения пользователя, зашифрованное этой функцией со значением в базе, то они будут разные, соответственно пользователь никогда не сможет войти на сайт.

Другое дело - использование любой другой функции, будь то sha256, sha512, да тот же md5. Они постоянно генерируют одно и то же значение, поэтому его всегда можно сравнить со значением в базе.

Так как же быть?

Comments

[Матвей Мамонов]

Например, вот результаты пяти последовательных обновлений страницы:
$2y$10$RDLrtq0/h0RVC/TqaA4Aiulmz8mVdM94LYnncKZJcuzhxyUpGswgG
$2y$10$aKa3M7zIJs1c/Ixe96IGOOPkJMKp6qE3fb90lJz2EYv/WnLvyGT4m
$2y$10$bZdTKRZi.pKUzaqLtjQza.y.grVV28gpqexrSOjHT9fQcsdSHsTF.
$2y$10$LrQcNYaWHkciYiP5sPurH.GoT5SQJZuHV5/8uG4eaSiVByckg4tte
$2y$10$Sh9ZMORDVKkYDsQyMEanF.ruyxADoPIENersv19bef/E7eqw/xLcW

Как видите, каждый раз результат разный.

[RadialAdmin]

Я не спец, но соль обычно имеет паттерн и не зная его нельзя убрать соленые символы с хешированного пароля. А зная уже не сложно убрать соль.

Answer 1

[Александр]

hash_password создан для хеширования, для сравнения введенных данных есть другой метод. Учите мат. часть.

Comments

[Александр]

и название его примерно password_verify

[Матвей Мамонов]

Александр: Александр: Вот именно об этом я и спрашивал.

Answer 2

[Леша Киселев]

Есть функция password_verify, вот с помощью нее проверяй.

php.net/manual/ru/function.password-verify.php

Answer 3

[jcmvbkbc]

Если я запишу в базу такой сгенерированный пароль, а потом буду сравнивать введенное значения пользователя, зашифрованное этой функцией со значением в базе, то они будут разные, соответственно пользователь никогда не сможет войти на сайт.

Не надо шифровать заново и сравнивать, используйте password_verify.

Answer 4

[Андрей Буров]

php.net/manual/ru/function.password-hash.php
php.net/manual/ru/function.password-verify.php
php.net/manual/ru/function.crypt.php
При проверке будет использована та же соль.

Comments

[Матвей Мамонов]

То есть вы хотите сказать, что хешировать нужно password_hash(), а проверять password_verify()?

[Андрей Буров]

Матвей Мамонов: да, читайте документацию.