password_hash()是安全密码哈希的正确选择，自动加盐、可调参、抗暴力破解；hash()仅适用于文件校验等非敏感场景，直接用于密码存储极不安全。
PHP原生hash()函数和password_hash()的区别
直接用hash()做密码哈希是危险的——它不加盐、不可调参、无法抵御彩虹表和暴力破解。Laravel底层用的是PHP内置的password_hash()，默认算法是bcrypt，自动加盐、自适应慢哈希，这才是密码存储的正确姿势。
常见错误：有人把hash('sha256', $password)存进数据库，结果被批量撞库秒破。
-
hash()适合校验文件摘要或非敏感数据签名，不适合密码 -
password_hash()生成的字符串自带算法、成本因子、盐，长度固定（如bcrypt输出60字符） - Laravel的
Hash::make()本质就是封装了password_hash()，且兼容argon2id（需PHP 7.3+及libsodium）
Laravel中Hash::make()和verify()的实际用法
别再手写password_hash()调用——Laravel的Hash门面已做好适配，关键是理解它怎么处理不同PHP版本和配置。
示例：
// 控制器中注册用户
$user = User::create([
'name' => $request->name,
'email' => $request->email,
'password' => Hash::make($request->password) // 自动选最优算法
]);
- 默认使用
bcrypt，成本因子为10（可通过config/hashing.php修改'bcrypt' => ['rounds' => 12]） - 验证时用
Hash::check($input, $hashedPassword)，它会自动解析$hashedPassword里的算法和参数，无需手动指定 - 如果数据库里存的是旧版
md5或sha1密码（比如迁移老系统），Hash::check()会直接返回false，不会报错——得自己加逻辑升级哈希
如何安全升级旧密码哈希（比如从bcrypt v10到v12或迁移到argon2id）
升级不是一锤子买卖，得在用户下次登录时渐进式重哈希，否则全量跑一遍password_hash()会拖垮服务器。
立即学习“PHP免费学习笔记（深入）”；
典型做法：
// 登录逻辑片段
if (Auth::attempt(['email' => $email, 'password' => $password])) {
$user = Auth::user();
// 检查当前哈希是否过期（比如轮数太低，或算法老旧）
if (Hash::needsRehash($user->password, ['rounds' => 12])) {
$user->password = Hash::make($password);
$user->save();
}
}
-
Hash::needsRehash()内部调用PHP的password_needs_rehash()，传入当前哈希值和期望配置 - 注意：只有当用户成功登录后才重哈希，避免攻击者利用该逻辑探测有效账号
- 若要强制迁移到
argon2id，需确认PHP版本≥7.3且sodium扩展启用，然后在config/hashing.php中设'driver' => 'argon2id'
调试哈希失败时该看什么错误信息
哈希本身极少抛异常，但Hash::check()返回false时，90%不是函数问题，而是数据或流程出错。
- 检查数据库字段类型：必须是
varchar(255)或更长，bcrypt哈希至少60字符，argon2id可达97字符 - 确认没对密码做额外trim()或utf8_encode()——
password_hash()对空格和BOM敏感 - 如果用
DB::table()->insert()绕过Eloquent，忘了调Hash::make()，存进去的就是明文，Hash::check()必然失败 - 测试时别用
dd(Hash::make('123'))反复执行——每次结果都不同（因盐随机），这是正常行为，不是bug
真正麻烦的是混合了多种哈希格式的老系统，这时候password_get_info()比猜更有用：password_get_info($hash)能返回['algo' => 1, 'algoName' => 'bcrypt', 'options' => [...]]，一眼看清存的是什么。
