输入正确账号密码却触发password_verify验证失败问题求助

核心原因分析 #

你遇到的password_verify验证失败问题，大概率是以下几个原因导致的：

1. 密码被不必要的过滤修改 #

你用FILTER_SANITIZE_FULL_SPECIAL_CHARS处理了输入的密码，这个过滤器会将特殊字符（如&、<、>、"等）转义为HTML实体。比如用户输入密码pass&word，过滤后会变成pass&word，用这个修改后的密码去验证数据库里的哈希，自然匹配失败。

解决方法：
直接获取原始密码，不要对密码做任何转义或过滤处理：

// 替换原来的过滤代码
$password = $_POST['password'];

2. 数据库哈希字段长度不足 #

password_hash生成的哈希字符串长度通常在60字符左右（PASSWORD_DEFAULT算法），如果你的cpass字段设置为VARCHAR(50)或更短，哈希会被数据库截断，导致验证时无法匹配。

解决方法：
修改数据库表结构，将cpass字段改为VARCHAR(255)（预留足够长度，适配未来算法更新）：

ALTER TABLE clients MODIFY COLUMN cpass VARCHAR(255) NOT NULL;

3. 密码存储方式错误 #

如果存入数据库的不是password_hash生成的哈希值（比如存了明文密码、MD5/SHA加密结果），password_verify根本无法识别，必然验证失败。

解决方法：
确保注册/修改密码时，用password_hash生成哈希后再存入：

// 示例：存储密码的正确代码
$raw_password = $_POST['password'];
$hashed_password = password_hash($raw_password, PASSWORD_DEFAULT);
// 然后将$hashed_password插入到cpass字段

4. 调试验证（快速定位问题） #

可以临时添加调试代码，直观查看输入密码和数据库哈希的实际值，确认是否有异常：

// 在password_verify之前添加
echo "输入的原始密码：" . htmlspecialchars($password) . "<br>";
echo "数据库存储的哈希：" . htmlspecialchars($row['cpass']) . "<br>";
// 还可以直接验证输出结果
var_dump(password_verify($password, $row['cpass']));

5. 优化查询逻辑（可选） #

你当前做了两次数据库查询，可合并为一次，避免潜在的并发数据不一致问题：

// 替换原来的两次查询
$stmt = $pdo->prepare('SELECT cpass FROM clients WHERE cuid = :username');
$stmt->bindParam(':username', $username);
$stmt->execute();
$row = $stmt->fetch();

if ($row) {
    if (password_verify($password, $row['cpass'])) {
        $_SESSION['username'] = $username;
        header('Location: dashboard.html');
        exit;
    } else {
        $password_error = "Invalid password.";
    }
} else {
    // 用户名不存在的处理
    $username_error = "Username not found.";
}

内容的提问来源于stack exchange，提问作者user3513923