在GitHub上传含哈希密码的测试数据库是否安全？兼问password_hash差异原因

1. 上传含测试管理员账号的SQL文件是否安全？ #

安全。原因如下：

• 你用password_hash("admin", PASSWORD_DEFAULT)生成的是bcrypt哈希值（PASSWORD_DEFAULT默认采用bcrypt算法），这种哈希是单向加密的，且自带随机盐值。即使有人拿到这个哈希字符串，想要暴力破解出原密码"admin"的成本极高，几乎不可能在短时间内成功。
• 这个账号本身就是用于测试的，即使极端情况被破解，也不会涉及生产环境的敏感数据。

不过要注意两个点：

• 绝对不要在生产环境中使用这个测试账号
• 建议在项目的README里明确说明这是测试专用账号，提醒使用者不要在正式场景复用

2. 为什么password_hash()每次生成的哈希都不同？ #

因为password_hash()会自动生成随机盐值。每次调用函数时，它都会生成一个独一无二的随机盐，并把盐值嵌入到最终输出的哈希字符串中。这样做的好处是：即使两个用户的密码完全相同，生成的哈希也不一样，能有效抵御彩虹表攻击。

验证密码时，password_verify()函数会自动从哈希字符串里提取盐值，用相同的算法重新计算哈希并和原哈希比对，所以你不需要手动存储盐值，整个过程对开发者是透明的。

内容的提问来源于stack exchange，提问作者John