Почему не работает проверка password_verify?

Question

[killsxs]

Пароль захэширован, например число 123 - под $2y$10$esNaODPRjiaeINKcyxroreucunBg.e6CYQt1qus8j6N/IPYRmRtSW, но при вводе этого пароля в авторизации выбивает ошибку. Хотя вводится всё верно

$hash = '$2y$10$esNaODPRjiaeINKcyxroreucunBg.e6CYQt1qus8j6N/IPYRmRtSW';
else if (password_verify('1234', $hash)) {
        $_SESSION['username'] = $username;
        header('Location: index.html');
        $fsmsg = "Вы вошли под пользователем";
    }

Comments

[Sergei Nazarenko]

Потому что у тебя хеш или пароль не правильный; попробуй этот хеш сравни

$hash = '$2y$10$JwKVTFX73osL3hu7zeGjO.yvHFAsCcSCWzhVFN//.0mAkfGo.9f1y';

Пароль 1234

[SagePtr]

> Пароль захэширован, например число 123 - под
> if (password_verify('1234', $hash))
Сам найдёшь несостыковку?

[Sergei Nazarenko]

SagePtr, Да тот хеш для 123 тоже не подходит false

[SagePtr]

Sergei Nazarenko, значит, автор сам уже не помнит, из какой строки он этот хэш вычислил

[Sergei Nazarenko]

SagePtr, однозначно

[Александр Торопов]

У вас логическая ошибка, идет переадресация, а потом присвоение значения переменной, этот код не выполнится:
$fsmsg = "Вы вошли под пользователем";

[killsxs]

SagePtr, да. Я понял, что в этом трабл. Я не могу понять, как сделать так, чтобы когда пользователь зарегался, пароль захэшировался, но при этом пользователь мог войти под своим паролем, не хэшированным. Потому что, когда я авторизуюсь, пользователь может войти под любым паролем. Я код подправил:

$password = $_POST['password'];

$hash = password_hash($password, PASSWORD_DEFAULT);

if (password_verify($password, $hash)) {
        $_SESSION['username'] = $username;
        $fmsg = 'Вы вошли под пользователем';
        header('Location: index.html');
}

[SagePtr]

killsxs, в этом коде пользователь сможет войти под любым паролем, потому что введённый пароль сравнивается с хэшем самого себя, а значит, всегда пройдёт.

Answer 1

[Александр Торопов]

Для создания хэша пароля используем функцию password_hash

//хеш пароля '1234'
$hash = '$2y$10$JwKVTFX73osL3hu7zeGjO.yvHFAsCcSCWzhVFN//.0mAkfGo.9f1y';

if (password_verify('1234', $hash)) {
    $_SESSION['username'] = $username;
    $fmsg = 'Вы вошли под пользователем';
    header('Location: index.html');
} else {
    echo 'Пароль не верный!';
}