本文详解如何在分离的注册和登录表单（如模态框）中正确实现密码哈希存储与比对，避免明文比较漏洞，使用 password_hash() 和 password_verify() 确保认证安全性。

本文详解如何在分离的注册和登录表单（如模态框）中正确实现密码哈希存储与比对，避免明文比较漏洞，使用 password_hash() 和 password_verify() 确保认证安全性。

在 Web 开发中，将注册（Registration）与登录（Login）逻辑混写于同一处理块（如共用 isset($_POST['reg_user']) || isset($_POST['login_user']) 判断）极易引发逻辑错误与安全风险——正如您遇到的问题：登录时未校验密码，仅凭用户名/邮箱存在即放行。根本原因在于：注册需生成并存储密码哈希；登录则需查询数据库中的哈希值，并用 password_verify() 进行比对，二者必须严格隔离、职责分明。

以下是重构后的专业实践方案，基于 MySQLi 面向对象风格 + 预处理语句（防止 SQL 注入），并遵循密码安全最佳实践：

✅ 正确的注册流程（Register）

if (isset($_POST['reg_user'])) {
    $username = trim($_POST['name']);
    $email    = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);
    $password = $_POST['password'];

    // 基础验证
    if (empty($username) || empty($email) || empty($password)) {
        $_SESSION['message'] = "所有字段均为必填项";
        exit;
    }

    // 检查用户是否已存在（用户名或邮箱任一重复即拒绝）
    $stmt = $db->prepare("SELECT idUtil FROM utilisateur WHERE pseudoUtil = ? OR mailUtil = ?");
    $stmt->bind_param("ss", $username, $email);
    $stmt->execute();
    $result = $stmt->get_result();

    if ($result->num_rows > 0) {
        $_SESSION['message'] = "用户名或邮箱已被注册！";
    } else {
        // 安全哈希密码（无需手动 escape，password_hash 自动处理）
        $hashed_password = password_hash($password, PASSWORD_DEFAULT);

        $stmt = $db->prepare("INSERT INTO utilisateur (pseudoUtil, mailUtil, pwdUtil) VALUES (?, ?, ?)");
        $stmt->bind_param("sss", $username, $email, $hashed_password);

        if ($stmt->execute()) {
            $_SESSION['message'] = "注册成功！请登录。";
        } else {
            $_SESSION['message'] = "注册失败，请稍后重试。";
        }
    }
}

✅ 正确的登录流程（Login）

if (isset($_POST['login_user'])) {
    $username = trim($_POST['name']); // 可为用户名或邮箱（根据前端约定）
    $password = $_POST['password'];

    if (empty($username) || empty($password)) {
        $_SESSION['message'] = "请输入用户名/邮箱和密码";
        exit;
    }

    // 统一按“用户名或邮箱”查询（推荐：前端明确区分字段，此处为兼容示例）
    $stmt = $db->prepare("SELECT idUtil, pseudoUtil, pwdUtil FROM utilisateur WHERE pseudoUtil = ? OR mailUtil = ?");
    $stmt->bind_param("ss", $username, $username);
    $stmt->execute();
    $result = $stmt->get_result();

    if ($result->num_rows === 1) {
        $user = $result->fetch_assoc();
        // ? 关键：使用 password_verify() 对比明文密码与数据库存储的哈希
        if (password_verify($password, $user['pwdUtil'])) {
            // 登录成功：设置会话并跳转
            $_SESSION['id']       = $user['idUtil'];
            $_SESSION['username'] = $user['pseudoUtil'];
            header('Location: index.php');
            exit;
        } else {
            $_SESSION['message'] = "密码错误，请重试。";
        }
    } else {
        $_SESSION['message'] = "用户名或邮箱不存在。";
    }
}

⚠️ 关键注意事项与安全提醒

• 绝不拼接 SQL 查询：原始代码中 $query2 = "SELECT $hashed_password FROM ..." 是严重错误——它试图查询一个动态变量值，而非字段，且完全绕过密码校验。password_verify() 是唯一合规的验证方式。
• 禁用 mysqli_real_escape_string 处理密码：哈希本身是字符串，但 password_hash() 输出已安全，且预处理语句彻底杜绝注入，额外 escape 反而可能破坏哈希格式。
• 字段设计建议：数据库中 pwdUtil 字段类型应为 VARCHAR(255)（PASSWORD_DEFAULT 当前生成约 60 字符，预留冗余）。
• 登录态强化：生产环境应补充 session_regenerate_id(true)、HTTPS 强制、登录失败次数限制等机制。
• 错误信息最小化：避免提示“邮箱不存在”或“密码错误”，统一返回“用户名或密码不正确”，防止用户枚举攻击。

通过分离注册与登录逻辑、强制使用预处理语句、依赖 password_hash/password_verify 原生函数，您将构建出符合现代 PHP 安全标准的身份认证流程。