PHP登录页面SHA256哈希密码验证失败的技术求助

问题根源 #

1. 函数不兼容：password_verify()仅支持验证PHP password_hash()生成的带盐哈希串，无法直接验证纯SHA-256哈希值，这是验证失败的首要原因。
2. 哈希逻辑不一致：数据库中存储的是用户名:密码拼接后的SHA256哈希，但你之前验证时没有复刻这个拼接规则，导致计算出的哈希和数据库值不匹配。

正确验证方案 #

修改验证逻辑，完全复刻存储时的哈希生成规则，再做字符串比对：

修改后的代码 #

// 必须获取登录输入的用户名（之前的代码遗漏了这个关键参数）
$username = trim($_POST["username"]);
$password = trim($_POST["password"]);

// 按照存储时的规则，拼接用户名和密码后计算SHA256哈希
$input_hash = hash('sha256', "$username:$password");

mysqli_stmt_bind_result($stmt, $id, $username, $hashed_password);
if(mysqli_stmt_fetch($stmt)){
    // 用严格相等比对避免类型转换问题
    if($input_hash === $hashed_password) {
        echo 'login succes' .'<br>';
    } else {
        echo 'login fail' .'<br>';
        // 调试用：临时输出两个哈希值排查差异
        // echo "输入哈希: $input_hash <br>数据库哈希: $hashed_password";
    }
}

额外建议 #

纯SHA256哈希属于无盐哈希，安全性较低，容易被彩虹表破解。建议后续迁移到更安全的方案：

• 存储密码时使用password_hash($password, PASSWORD_DEFAULT)，该函数会自动生成随机盐值并包含在哈希串中。
• 验证时直接使用password_verify($password, $hashed_password)即可，无需自己处理盐值和哈希逻辑。

内容的提问来源于stack exchange，提问作者Emre Celik