如何在SMTP配置数组中使用哈希密码替代明文（无需password_verify）

首先明确：你没法直接用password_hash()生成的哈希值替代SMTP明文密码。因为这类哈希是单向加密算法，只能用来验证输入的明文是否匹配，根本无法逆向还原出原始密码——而SMTP服务器认证必须使用原始明文密码，所以直接填哈希值的思路走不通。

给你几个可行的替代方案：

• 用环境变量存储密码
  在服务器上设置环境变量（比如Linux的.bashrc或服务器面板的环境变量配置），把SMTP密码存进去，然后在mailer.php里读取：

  $config['smtp']['password'] = getenv('SMTP_PASSWORD');
  

  这样配置文件里完全看不到明文密码，医生只需要自己在服务器上设置环境变量，不用把密码交给你。

• 加密配置文件中的密码
  用对称加密算法（比如AES）把明文密码加密后存在配置里，程序运行时再解密：

  // 加密过程（仅执行一次，由医生在本地完成）
  // $plainPassword = '123';
  // $key = '医生自己保管的密钥';
  // $iv = openssl_random_pseudo_bytes(openssl_cipher_iv_length('AES-256-CBC'));
  // $encrypted = openssl_encrypt($plainPassword, 'AES-256-CBC', $key, 0, $iv);
  // 把加密后的字符串和iv存在配置里
  
  // mailer.php中的解密代码
  $encryptedPassword = '加密后的密码字符串';
  $key = '服务器上存储的密钥（由医生设置）';
  $iv = '加密时生成的初始化向量';
  $config['smtp']['password'] = openssl_decrypt($encryptedPassword, 'AES-256-CBC', $key, 0, $iv);
  

  密钥由医生单独保管在服务器上，你不需要知道密钥和原始密码。

• 使用邮箱应用专用密码
  如果医生用的是Gmail、Outlook等支持应用专用密码的邮箱，让他生成一个仅用于这个联系表单的专用密码。这个密码和主账号密码独立，即使泄露也不会影响主账号安全，而且医生不用把主密码给你。

内容的提问来源于stack exchange，提问作者Hot Dog