从PHP 5.6迁移至PHP 8.3的哈希密码匹配问题咨询

1. 问题产生的原因 #

核心原因是新旧环境的输入处理逻辑不一致：

• CodeIgniter 3与CodeIgniter 4对表单输入的默认处理规则不同，比如CI4会自动对输入做HTML转义、trim过滤或编码转换，而旧CI3代码直接使用原始密码进行哈希计算。
• 举个例子：如果旧用户密码包含<、>这类特殊字符，CI4会自动将其转义为<、>，用转义后的密码拼接旧salt算出的哈希值，必然和数据库中存储的旧哈希值不匹配。
• 另外，若旧服务器为32位系统、新服务器为64位系统，mt_rand()生成的随机前缀长度会有变化，但这只会影响新用户的salt生成，不会导致旧用户验证失败，所以不是主要原因。

2. hash()函数在不同PHP版本的差异 #

对于sha512这类标准哈希算法，PHP 5.6到8.3.4之间没有功能性差异：

• 标准哈希算法的实现完全遵循国际规范，只要输入的原始字节串完全相同，输出的小写十六进制哈希结果就完全一致。
• 只有使用PHP专属的非标准哈希算法时才可能出现差异，sha512属于通用标准算法，不存在这类问题。

3. 现有用户凭证修复方案 #

方案一：统一输入处理逻辑 #

修改CI4的登录逻辑，确保获取原始未处理的密码。比如使用$request->getPost('password', FILTER_UNSAFE_RAW)获取密码，跳过CI4默认的转义处理，和旧CI3的输入逻辑对齐。

方案二：双验证+渐进迁移 #

在登录时先按CI4的新逻辑验证，验证失败后再用旧CI3的逻辑（模拟PHP 5.6的输入处理）尝试验证。验证通过后，自动用新逻辑重新生成密码和salt并更新到数据库，逐步完成所有旧用户的凭证迁移。

方案三：检查数据库配置 #

确认数据库中salt和password字段的长度至少为128字符（sha512哈希结果是128位十六进制），且字符集使用utf8mb4或latin1，避免哈希字符串存储时出现字符转换损失。

内容的提问来源于stack exchange，提问作者MarcM