Laravel 中文文档

主题

全部文档

哈希 ​

简介 ​

Laravel 的 Hash facade 提供安全的 Bcrypt 与 Argon2 哈希，用于存储用户密码。若你使用任一 Laravel 应用起步套件，注册与认证默认会使用 Bcrypt。

Bcrypt 非常适合哈希密码，因为它的「工作因子」可调节，意味着随着硬件算力提升，生成哈希所需时间也可以相应增加。哈希密码时，慢即是好。算法哈希密码耗时越长，恶意用户生成可用于暴力攻击应用的全部可能字符串哈希值「彩虹表」也就越久。

配置 ​

默认情况下，Laravel 哈希数据时使用 bcrypt 哈希驱动。此外还支持其他多种哈希驱动，包括 argon 与 argon2id。

你可以使用 HASH_DRIVER 环境变量指定应用的哈希驱动。若要自定义 Laravel 哈希驱动的全部选项，应使用 config:publish Artisan 命令发布完整的 hashing 配置文件：

bash
php artisan config:publish hashing

基本用法 ​

哈希密码 ​

你可以通过调用 Hash facade 的 make 方法来哈希密码：

php
<?php

namespace App\Http\Controllers;

use Illuminate\Http\RedirectResponse;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Hash;

class PasswordController extends Controller
{
    /**
     * Update the password for the user.
     */
    public function update(Request $request): RedirectResponse
    {
        // Validate the new password length...

        $request->user()->fill([
            'password' => Hash::make($request->newPassword)
        ])->save();

        return redirect('/profile');
    }
}

调整 Bcrypt 工作因子 ​

若使用 Bcrypt 算法，make 方法允许你通过 rounds 选项管理算法的工作因子；不过，Laravel 管理的默认工作因子对大多数应用已经足够：

$hashed = Hash::make('password', [
    'rounds' => 12,
]);

调整 Argon2 工作因子 ​

若使用 Argon2 算法，make 方法允许你通过 memory、time 与 threads 选项管理算法的工作因子；不过，Laravel 管理的默认值对大多数应用已经足够：

$hashed = Hash::make('password', [
    'memory' => 1024,
    'time' => 2,
    'threads' => 2,
]);

INFO

关于这些选项的更多信息，请参阅 PHP 官方关于 Argon 哈希的文档。

验证密码是否匹配哈希 ​

Hash facade 提供的 check 方法可用于验证给定明文是否对应给定哈希：

if (Hash::check('plain-text', $hashedPassword)) {
    // The passwords match...
}

判断密码是否需要重新哈希 ​

Hash facade 提供的 needsRehash 方法可用于判断自密码被哈希以来，哈希器使用的工作因子是否已变更。有些应用会选择在认证过程中执行此检查：

if (Hash::needsRehash($hashed)) {
    $hashed = Hash::make('plain-text');
}

哈希算法校验 ​

为防止哈希算法被篡改，Laravel 的 Hash::check 方法会先验证给定哈希是否由应用所选的哈希算法生成。若算法不同，将抛出 RuntimeException 异常。

对大多数应用而言这是预期行为：哈希算法通常不应变更，出现不同算法可能意味着恶意攻击。不过，若应用需要支持多种哈希算法（例如从一种算法迁移到另一种），可将 HASH_VERIFY 环境变量设为 false 以禁用哈希算法校验：

ini
HASH_VERIFY=false