MD5和SHA1不安全，主因是易受碰撞攻击；MD5自2004年可被毫秒级破解弱密码，SHA1于2017年遭Google实战攻破；二者均无内置盐机制且计算过快，不适合密码存储。
一、MD5算法的安全缺陷
MD5是一种128位哈希算法，设计目标是快速生成摘要，不适用于密码存储。其碰撞攻击已在2004年被公开实现，NIST早在2011年就正式弃用该算法。
1、攻击者可在普通笔记本上毫秒级暴力破解常见弱密码（如123456）。
2、固定输入永远产生固定输出，例如md5("admin")恒为21232f297a57a5a743894a0e4a801fc3，便于彩虹表批量反查。
3、手动加盐无法根本改善安全性，盐值若写死、长度不足或缺乏随机性，仍可被GPU集群高效穷举。
立即学习“PHP免费学习笔记（深入）”；
二、SHA1算法的实际攻破状态
SHA1生成160位哈希值，理论安全性高于MD5，但已被实战攻破。Google于2017年公开SHAttered攻击，首次在现实条件下构造出两个不同PDF文件产生相同SHA1摘要。
1、攻击成本远低于理论预期，商用硬件可在数小时内完成针对性碰撞。
2、hash("sha1", $pwd)不自动加盐，开发者需自行管理盐值生命周期，极易遗漏或重复使用。
3、“双重哈希”如sha1(md5($pwd))仅增加微弱混淆，不提升抗暴力能力，反而可能引入0e开头弱类型比较绕过漏洞。
三、SHA256的适用边界与局限
SHA256属于SHA-2家族，抗碰撞能力强，常用于文件校验和数字签名，但其“高速”特性恰恰使其不适合密码存储场景。
1、现代显卡每秒可执行上亿次SHA256计算，8位大小写字母+数字组合平均暴力破解耗时仅数分钟。
2、hash("sha256", $pwd)无内置盐机制，开发者必须独立生成、存储、绑定盐值，且无法验证盐是否唯一或足够长。
3、缺乏计算耗时调控参数，硬件升级后破解效率线性提升，系统无法通过配置平滑加固。
四、password_hash()的强制安全机制
PHP 5.5+ 内置的password_hash()是唯一经官方推荐、长期安全审计的密码哈希方案，底层默认采用bcrypt（PASSWORD_BCRYPT），支持未来无缝升级至Argon2。
1、每次调用自动生成高强度随机盐，并将盐与参数完整嵌入输出字符串，格式为$2y$12$...。
2、通过cost参数（默认10，建议设为12）精确控制单次哈希耗时约100ms，显著拖慢暴力尝试频率。
3、生成的哈希字符串含算法标识与版本信息，旧数据可长期兼容，新注册用户自动启用更高安全等级。
五、验证流程的不可替代性
password_verify()专为匹配password_hash()输出而设计，内部自动提取盐、算法标识与cost参数，执行完全等价的重哈希比对，杜绝手写逻辑错误。
1、禁止直接字符串比较，例如if (password_hash($input) === $stored)永远为false，因每次输出必然不同。
2、正确验证仅需一行：password_verify($_POST['password'], $stored_hash)，返回布尔结果。
3、输出哈希中包含完整元数据，验证时无需额外查询数据库获取盐或参数，避免侧信道泄露风险。
