Laravel中手机号加密/哈希存储及哈希匹配查询实现方案咨询

嘿，这个问题我之前做项目的时候也碰到过，确实Laravel默认的Hash门面生成的哈希带随机盐，没法直接在数据库里做等值匹配，不过有几个可行的方案能解决你的需求，咱们一个个捋清楚：

方案1：使用确定性加密（推荐，兼顾安全与性能） #

既然你之前用过加密方案，只是解密查询慢，那换成确定性加密是最优解——用固定密钥的对称加密算法（比如AES-256-GCM），这样同一个手机号加密后的结果是固定值，直接就能在数据库里做等值查询，不用解密全表记录。

先写个简单的加密工具类：

class PhoneEncryptor
{
    private string $key;

    public function __construct()
    {
        $this->key = env('PHONE_ENCRYPT_KEY');
        // AES-256需要32位密钥，一定要确保.env里的密钥符合要求
        if (strlen($this->key) !== 32) {
            throw new \RuntimeException('手机号加密密钥必须是32位字符串');
        }
    }

    public function encrypt(string $phone): string
    {
        $iv = random_bytes(12); // GCM模式标准IV长度是12字节
        $tag = '';
        $encryptedContent = openssl_encrypt(
            $phone,
            'aes-256-gcm',
            $this->key,
            OPENSSL_RAW_DATA,
            $iv,
            $tag
        );
        // 把IV、认证标签和加密内容拼接后base64编码存储
        return base64_encode($iv . $tag . $encryptedContent);
    }

    public function decrypt(string $encryptedPhone): string
    {
        $decodedData = base64_decode($encryptedPhone);
        $iv = substr($decodedData, 0, 12);
        $tag = substr($decodedData, 12, 16);
        $encryptedContent = substr($decodedData, 28);

        return openssl_decrypt(
            $encryptedContent,
            'aes-256-gcm',
            $this->key,
            OPENSSL_RAW_DATA,
            $iv,
            $tag
        );
    }
}

存储手机号时：

$encryptor = new PhoneEncryptor();
$encryptedPhone = $encryptor->encrypt($request->phone);

User::create([
    'encrypted_phone' => $encryptedPhone,
    // 其他用户字段
]);

登录查询时直接匹配加密值：

$loginPhone = $request->phone;
$encryptor = new PhoneEncryptor();
$encryptedLoginPhone = $encryptor->encrypt($loginPhone);

// 直接数据库等值查询，速度和查普通字段一样
$user = User::where('encrypted_phone', $encryptedLoginPhone)->first();

// 如果需要原始手机号，再解密即可
$originalPhone = $encryptor->decrypt($user->encrypted_phone);

这个方案的优势：加密安全性高（AES-256-GCM是目前的安全标准），查询性能和普通字段完全一致，同时避免了哈希方案的局限性。

方案2：提取哈希盐值，用数据库原生函数匹配（适合坚持用哈希的场景） #

Laravel默认的bcrypt哈希格式是$2y$10$[22位随机盐][31位哈希内容]，我们可以把盐单独存在数据库字段里，查询时用数据库的原生加密函数重新计算哈希，和存储的哈希值比对，这样就能在数据库层面完成匹配。

存储时提取盐值：

$hashedPhone = Hash::make($request->phone);
// 分割哈希字符串，取出中间的22位盐值
$hashParts = explode('$', $hashedPhone);
$salt = $hashParts[2];

User::create([
    'phone_hash' => $hashedPhone,
    'phone_salt' => $salt,
    // 其他字段
]);

查询时用数据库的CRYPT函数（以MySQL为例）：

$loginPhone = $request->phone;

$user = User::whereRaw(
    "phone_hash = CRYPT(?, CONCAT('$2y$10$', phone_salt))",
    [$loginPhone]
)->first();

注意：不同数据库的CRYPT函数语法可能有差异，比如PostgreSQL需要依赖pg_crypt扩展，需要根据你的数据库调整。这个方案保留了bcrypt的自适应哈希安全特性，同时实现了数据库层面的匹配，性能也不错。

方案3：固定盐的哈希（仅适合安全要求极低的场景） #

如果场景对安全要求不高，可以用固定盐的哈希算法（比如SHA-256），这样同一个手机号生成的哈希值固定，直接就能做数据库等值查询。

首先在.env里配置一个足够长的盐：

PHONE_HASH_SALT=your_very_long_and_secret_salt_here

生成和查询哈希：

// 存储时生成哈希
$salt = env('PHONE_HASH_SALT');
$hashedPhone = hash('sha256', $request->phone . $salt);

// 查询时直接匹配
$loginPhone = $request->phone;
$hashedLoginPhone = hash('sha256', $loginPhone . $salt);
$user = User::where('hashed_phone', $hashedLoginPhone)->first();

⚠️ 注意：这个方案的安全性很低，一旦盐泄露，所有手机号哈希都可能被彩虹表破解，只适合对安全要求极低的内部系统或者测试环境。

不推荐的折中方案：Hash::check遍历 #

如果不想改现有存储结构，只能先把所有用户哈希值取出来，再用Hash::check逐一验证，但这个方案在用户量大的时候性能极差，完全是下下策，临时过渡都不建议用：

$loginPhone = $request->phone;
$users = User::all(); // 全表查询，用户多的时候直接崩

foreach ($users as $user) {
    if (Hash::check($loginPhone, $user->phone_hash)) {
        return $user;
    }
}

总结一下：优先选方案1（确定性加密），安全和性能都拉满；如果一定要用哈希，选方案2；方案3尽量别碰。

内容的提问来源于stack exchange，提问作者Arif