在 PHP 中进行哈希处理之前我应该​​清理用户密码吗？

清理用户密码：综合指南

在保护用户密码时，PHP 开发人员经常采用诸如 escape_string() 和 htmlspecialchars( ）。但是，对于密码来说，这种做法并不可取，因为它不必要地使过程复杂化，并且不会提供额外的安全优势。

密码哈希以确保安全

哈希的主要目的密码的目的是使它们安全地存储在数据库中。哈希密码不是明文，不能直接用于 SQL 注入攻击，使得清理与安全目的无关。

不必要的额外代码

清理密码会引入不必要的代码，没有实际功能。 password_hash() 函数已经处理了所有必要的转换，使密码可以安全存储。

允许用户灵活性

通过避免清理机制，您允许用户选择更长和更长时间更复杂的密码。这增强了安全性，因为它增加了攻击者破解密码的难度。

密码存储注意事项

最常用的哈希方法 PASSWORD_BCRYPT 创建一个 60-字符哈希，包括密码、随机盐和算法成本。建议将哈希密码存储在 VARCHAR(255) 或 TEXT 列中，以适应哈希方法的未来扩展。

密码清理影响示例

考虑以下内容密码：“我是“甜点配料”<地板蜡>！”。应用不同的清理方法会产生不一致的结果，而这些结果都不是哈希所必需的。

Cleansing Method	Result
Trim	"I'm a "dessert topping" & a !"
Htmlentities	"I'm a "dessert topping" & a !"
Addslashes	"I'm a "dessert topping" & a !"
Strip_tags	"I'm a "dessert topping" & a !"

无论采用哪种清理方法，所有密码都将成功进行哈希处理。然而，验证密码时会出现问题，因为在与password_verify()比较之前必须再次应用清理方法。

结论

在散列之前清理用户密码是不必要的和潜在有害的做法。相反，应重点使用 PASSWORD_BCRYPT 等安全哈希算法，并允许用户选择强密码。通过避免清理机制，您可以简化流程并增强存储密码的安全性。

以上是在 PHP 中进行哈希处理之前我应该​​清理用户密码吗？的详细内容。更多信息请关注PHP中文网其他相关文章！