PHP 8.x中弱口令和明文密码漏洞源于开发者认证设计缺陷，修复须四措并举：禁用明文存储（用password_hash/password_verify）、强制强密码策略、杜绝明文传输（全站HTTPS+禁用autocomplete）、配套会话安全与错误防护。
PHP 8.x 中弱口令和明文密码漏洞，本质不是 PHP 语言的问题，而是开发者在用户认证环节的设计与实现缺陷。修复重点在于：禁用明文存储、强制密码强度、引入加盐哈希、杜绝传输明文——四者缺一不可。
禁用明文存储，必须用现代哈希算法
PHP 8.x 已原生支持 password_hash() 和 password_verify()，这是唯一推荐的密码存储方式。它自动加盐、使用 bcrypt（默认）或 Argon2（PHP 8.2+ 支持），且随硬件升级可调整成本因子。
- 注册/修改密码时，用
password_hash($password, PASSWORD_ARGON2ID)（优先 Argon2）或PASSWORD_DEFAULT - 登录验证时，只用
password_verify($input, $hash_from_db)，不要自己拼接 salt 或调用 md5/sha1 - 数据库字段类型设为 VARCHAR(255)，因为 Argon2 哈希长度可达 190+ 字符
强制执行强密码策略
不能只靠前端提示，后端必须校验。PHP 8.x 可结合正则与逻辑判断：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 长度 ≥ 8 字符
- 至少含大小写字母、数字、特殊符号中的三类（例：
preg_match('/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[^\da-zA-Z]).{8,}$/', $pwd)） - 拒绝常见弱口令（如 '123456'、'password'、'admin123'），可用开源字典库如 zxcvbn-php 做熵值评估
关闭明文传输通道
即使密码哈希再强，若前端提交的是明文，中间人仍可截获并重放登录请求：
立即学习“PHP免费学习笔记（深入）”；
- 全站启用 HTTPS，HTTP 请求自动 301 重定向
- 登录表单禁止 autocomplete：
<input type="password" autocomplete="new-password"> - 不依赖前端 JS 加密（易被绕过），关键动作如密码修改必须服务端二次确认（如短信/邮箱验证码）
配套加固措施不能少
单一环节加固无效，需形成闭环：
- 会话安全：设置
session.cookie_httponly = 1、session.cookie_secure = 1、session.use_strict_mode = 1 - 错误信息防护：生产环境
display_errors = Off，避免泄露密码校验逻辑或数据库结构 - 登录保护：失败 5 次后启用验证码或临时锁定 IP（注意防绕过，勿仅限前端限制）
