哈希-Laravel 文档-果果开发

简介

Laravel Hash 门面为存储用户密码提供了安全的 Bcrypt 和 Argon2 哈希功能。如果你正在使用 Laravel 应用程序入门套件中的某一个，那么在注册和认证时将默认使用 Bcrypt。

Bcrypt 是哈希密码的绝佳选择，因为其“工作因子”可调节，这意味着随着硬件性能的提升，生成哈希所需的时间也可以相应增加。在对密码进行哈希处理时，速度慢反而是好事。算法对密码进行哈希处理所需的时间越长，恶意用户生成用于对应用程序发起暴力破解攻击的所有可能字符串哈希值的“彩虹表”所需的时间就越长。

配置

默认情况下，Laravel 在对数据进行哈希处理时会使用 bcrypt 哈希驱动程序。不过，还支持其他几种哈希驱动程序，包括 argon 和 argon2id。

你可以使用 HASH_DRIVER 环境变量来指定应用程序的哈希驱动程序。但是，如果你想自定义 Laravel 的所有哈希驱动程序选项，应该使用 config:publish Artisan 命令发布完整的 hashing 配置文件：

php artisan config:publish hashing

基本用法

对密码进行哈希处理

你可以通过调用 Hash 门面的 make 方法来对密码进行哈希处理：

<?php

namespace App\Http\Controllers;

use Illuminate\Http\RedirectResponse;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Hash;

class PasswordController extends Controller
{
    /**
     * 更新用户的密码。
     */
    public function update(Request $request): RedirectResponse
    {
        // 验证新密码的长度……

        $request->user()->fill([
            'password' => Hash::make($request->newPassword)
        ])->save();

        return redirect('/profile');
    }
}

调整 Bcrypt 的工作因子

如果你使用的是 Bcrypt 算法，make 方法允许你使用 rounds 选项来管理该算法的工作因子；不过，Laravel 所管理的默认工作因子对于大多数应用程序来说已经足够了：

$hashed = Hash::make('password', [
    'rounds' => 12,
]);

调整 Argon2 的工作因子

如果你使用的是 Argon2 算法，make 方法允许你使用 memory、time 和 threads 选项来管理该算法的工作因子；不过，Laravel 所管理的默认值对于大多数应用程序来说已经足够了：

$hashed = Hash::make('password', [
    'memory' => 1024,
    'time' => 2,
    'threads' => 2,
]);

若要了解有关这些选项的更多信息，请参阅关于 Argon 哈希的官方 PHP 文档。

验证密码是否与哈希值匹配

Hash 门面提供的 check 方法允许你验证给定的明文字符串是否与给定的哈希值对应：

if (Hash::check('plain-text', $hashedPassword)) {
    // 密码匹配……
}

判断密码是否需要重新哈希

Hash 门面提供的 needsRehash 方法允许你判断自密码被哈希处理以来，哈希器所使用的工作因子是否发生了变化。有些应用程序会选择在应用程序的认证过程中进行这项检查：

if (Hash::needsRehash($hashed)) {
    $hashed = Hash::make('plain-text');
}

哈希算法验证

为防止哈希算法被篡改，Laravel 的 Hash::check 方法会先验证给定的哈希值是否是由应用程序所选的哈希算法生成的。如果算法不同，则会抛出 RuntimeException 异常。

对于大多数应用程序而言，这是预期的行为，因为哈希算法通常不会更改，而使用不同的算法可能意味着存在恶意攻击。然而，如果你需要在应用程序中支持多种哈希算法，例如从一个算法迁移到另一个算法时，可以将 HASH_VERIFY 环境变量设置为 false 来禁用哈希算法验证：

HASH_VERIFY=false