php 使用 password_hash() 生成的哈希值在首次重置后可正常验证，但后续登录时 password_verify() 失败，根本原因常是 php 源文件编码不一致（如含 bom 或混合 ansi/utf-8），导致哈希字符串被静默截断或污染。
php 使用 password_hash() 生成的哈希值在首次重置后可正常验证，但后续登录时 password_verify() 失败，根本原因常是 php 源文件编码不一致（如含 bom 或混合 ansi/utf-8），导致哈希字符串被静默截断或污染。
在基于 PHP 8 的轻量级系统（如树莓派上的 Apache 环境）中，password_hash() 与 password_verify() 配合 MySQL 存储时出现“首次验证成功、后续失败”的典型现象，往往并非算法兼容性或数据库字段长度问题（VARCHAR(255) 完全足够），而是不可见的字符污染所致。
? 根本原因：文件编码混杂引入隐形字符
当 PHP 文件本身以非 UTF-8 无 BOM 编码保存（例如 Windows 记事本默认的 ANSI 或带 BOM 的 UTF-8），PHP 解析器可能在脚本开头或字符串字面量中意外注入不可见字符（如 U+FEFF BOM、多余换行、零宽空格等）。这些字符虽不影响语法执行，却会污染 password_hash() 输出的哈希字符串——尤其当哈希值被拼接、赋值或通过非安全方式输出时，可能导致：
- 哈希字符串末尾被截断（如因隐式换行截断）；
- 字符串开头/中间混入不可见控制字符；
- password_verify() 接收的 $hash 实际比数据库存储值多/少若干字节，导致恒返回 false。
✅ 你已正确验证了：字段类型（VARCHAR(255)）、字符集（utf8mb4_unicode_ci）、查询逻辑、PHP 8 兼容性（PASSWORD_DEFAULT 在 PHP 7.4+ 和 8.x 均稳定支持），这恰恰反向印证问题出在数据生成源头的洁净度上。
✅ 正确修复步骤（终端一键执行）
# 进入项目根目录（如 /var/www/html）
cd /path/to/your/project
# 1. 递归将所有 .php 文件转为 UTF-8 无 BOM 编码（Linux/macOS）
find . -name "*.php" -type f -exec iconv -f UTF-8 -t UTF-8//IGNORE {} \; -exec sed -i '1s/^\xEF\xBB\xBF//' {} \;
# 更稳妥方案：使用 dos2unix + recode（推荐）
sudo apt install dos2unix # Debian/Ubuntu
find . -name "*.php" -type f -exec dos2unix {} \;
find . -name "*.php" -type f -exec recode utf-8..utf-8//skip-bom {} \;
# 2. 验证关键文件无 BOM（输出应为空）
head -c 3 your-login-script.php | xxd
# 若显示 00000000: efbb bf，说明仍有 BOM，需重复清理?️ 预防性最佳实践
- 编辑器强制设置：VS Code / PHPStorm 中启用 “Save with UTF-8 encoding” 并勾选 “Remove BOM on save”；
- Git 预提交钩子：添加 .gitattributes 确保文本文件统一为 text=auto，避免 Windows 行尾转换污染；
-
哈希写入前校验（调试用）：
$hash = password_hash($password, PASSWORD_DEFAULT); error_log("HASH LENGTH: " . strlen($hash) . " | HEX: " . bin2hex(substr($hash, 0, 10))); // 正常 bcrypt/Argon2 哈希长度应为 60（bcrypt）或 ≥ 120（Argon2），且无非 ASCII 字节
? 补充说明：为何 PASSWORD_ARGON2ID 同样失效？
Argon2 哈希对输入敏感度更高，BOM 或空白字符会导致 password_hash() 输出完全不同的结果，且其 Base64 编码段更易因字符污染而解码失败——这进一步佐证了问题与哈希算法无关，而在于字符串完整性保障缺失。
立即学习“PHP免费学习笔记（深入）”；
彻底统一文件编码后，password_hash() 输出纯净、MySQL 存储准确、password_verify() 验证可靠——无需修改 SQL 查询逻辑或调整 PDO 绑定方式。这是 PHP 密码安全实践中极易被忽视却影响深远的基础环节。
