如何修改或删除XenForo的PasswordHash类以更改哈希算法？

核心思路 #

你当前的PasswordHash类通过分支逻辑优先使用bcrypt，其次是EXT_DES，最后走自定义哈希逻辑。要替换哈希算法，核心是修改HashPassword（生成新哈希）和CheckPassword（验证哈希）两个方法，同时必须保证旧密码哈希能正常验证，避免用户无法登录。

方案一：替换为PHP内置安全算法（推荐） #

PHP内置的password_hash/password_verify支持bcrypt、Argon2i/Argon2id等经安全审计的算法，比自定义实现更可靠。以下是修改步骤：

1. 修改HashPassword方法

替换原有分支逻辑，直接使用password_hash生成新密码哈希：

function HashPassword($password)
{
    // 使用Argon2id算法，可根据服务器性能调整memory_cost、time_cost参数
    $options = [
        'memory_cost' => PASSWORD_ARGON2_DEFAULT_MEMORY_COST,
        'time_cost' => PASSWORD_ARGON2_DEFAULT_TIME_COST,
        'threads' => PASSWORD_ARGON2_DEFAULT_THREADS,
    ];
    return password_hash($password, PASSWORD_ARGON2ID, $options);
}

2. 修改CheckPassword方法

兼容旧哈希验证，先判断哈希格式：如果是新算法生成的哈希（以$argon2id$开头），用password_verify；否则沿用原有验证逻辑：

function CheckPassword($password, $stored_hash)
{
    // 判断是否是Argon2id哈希，兼容旧哈希验证
    if (str_starts_with($stored_hash, '$argon2id$')) {
        return password_verify($password, $stored_hash);
    } else {
        // 原有旧哈希验证逻辑，保留以支持老用户登录
        $hash = $this->crypt_private($password, $stored_hash);
        return hash_equals($stored_hash, $hash);
    }
}

方案二：自定义哈希算法实现 #

如果必须使用自定义算法，需完成以下操作：

1. 移除原有HashPassword中的分支逻辑，实现自定义哈希生成逻辑（必须包含随机盐，且盐要和哈希一起存储）
2. 修改CheckPassword方法，从存储的哈希中提取盐，用相同算法重新计算哈希并对比
3. 保留旧哈希的兼容验证逻辑（同方案一）

示例（假设自定义算法基于SHA-256加盐）：

function HashPassword($password)
{
    // 生成随机盐
    $salt = bin2hex($this->get_random_bytes(16));
    // 自定义哈希逻辑
    $hash = hash('sha256', $password . $salt);
    // 存储格式：自定义标识$盐$哈希
    return "custom_sha256${$salt}${$hash}";
}

function CheckPassword($password, $stored_hash)
{
    // 验证自定义哈希
    if (str_starts_with($stored_hash, 'custom_sha256$')) {
        list(, $salt, $storedHash) = explode('$', $stored_hash, 3);
        $calculatedHash = hash('sha256', $password . $salt);
        return hash_equals($storedHash, $calculatedHash);
    } else {
        // 旧哈希验证逻辑
        $hash = $this->crypt_private($password, $stored_hash);
        return hash_equals($stored_hash, $hash);
    }
}

关键注意事项 #

• 备份数据库：修改前务必备份用户表，避免哈希验证失败导致用户数据异常
• 兼容性测试：测试旧用户能否正常登录，新注册用户的密码哈希是否正确生成
• 性能考量：如果使用Argon2等高消耗算法，需根据服务器配置调整参数，避免拖慢系统
• 不要禁用旧逻辑：除非你已强制所有用户重置密码，否则必须保留旧哈希验证逻辑

内容的提问来源于stack exchange，提问作者Juan Agudelo