使用password_hash()存储密码后登录失败，提示密码错误的问题排查

以下是针对登录时始终提示“密码错误”问题的常见排查点和解决方法：

• 检查数据库密码字段长度
  password_hash()生成的哈希值默认是60字符，如果你的数据库users表中password字段长度小于60（比如设为VARCHAR(50)），哈希值会被截断，导致password_verify()验证失败。请将字段类型改为VARCHAR(255)或TEXT，确保能完整存储哈希值。

• 确认密码存入逻辑无额外处理
  检查你存入密码的代码，确保直接使用password_hash()的返回值存入数据库，没有对哈希值做trim()、转义等多余操作——这些操作会破坏哈希结构，导致验证不通过。

• 验证数据库连接编码
  如果数据库连接时未设置正确的字符编码（如UTF-8），可能导致哈希值存储或读取时出现乱码。确保PDO连接字符串包含charset=utf8mb4，示例：

  $conn = new PDO("mysql:host=localhost;dbname=your_database;charset=utf8mb4", "username", "password");
  

• 临时调试对比哈希值
  在登录代码中临时添加调试输出，查看从数据库读取的哈希和用当前输入密码生成的哈希是否一致（注意仅在测试环境使用）：

  if($row) {
      // 临时调试输出，生产环境请删除
      echo "数据库存储的哈希：" . $row['password'] . "<br>";
      echo "当前密码生成的哈希：" . password_hash($pass, PASSWORD_DEFAULT) . "<br>";
      
      if(password_verify($pass, $row['password'])){
          $_SESSION['id'] = $row['id'];
          header('location: home.php');
          exit();
      } else {
          $message[] = "Incorrect password";
      }
  }
  

  如果数据库中的哈希长度不足60，说明存储时被截断；如果两个哈希完全不同，要检查存入密码的逻辑是否正确调用了password_hash()。

• 检查字段名与fetch模式
  确认数据库表中存储密码的字段名确实是password，和代码中$row['password']的拼写一致；同时确保PDO::FETCH_ASSOC正确获取到了字段值，没有因为字段名大小写问题（部分数据库区分大小写）导致取值错误。

代码优化建议 #

可以在PDO连接时开启错误模式，便于排查数据库层面的问题：

// 开启PDO错误异常模式
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

// 登录逻辑包裹在try-catch中捕获异常
try {
    $user = $conn->prepare("SELECT id, password FROM `users` WHERE email = ?");
    $user->execute([$email]);
    $row = $user->fetch(PDO::FETCH_ASSOC);

    if($row) {
        if(password_verify($pass, $row['password'])){
            $_SESSION['id'] = $row['id'];
            header('location: home.php');
            exit();
        } else {
            $message[] = "Incorrect password";
        }
    } else {
        $message[] = "Email not found";
    }
} catch(PDOException $e) {
    $message[] = "数据库错误：" . $e->getMessage();
}

内容的提问来源于stack exchange，提问作者Elvis Chimuse