PHP登录系统使用password_hash后无法登录问题解决方法

这类登录验证失败100%是密码哈希的存储、比对流程不符合password_hash系列函数的使用规范，和你加的注册哈希逻辑本身无关，最常见的错误是登录环节没有正确调用password_verify()，或是数据库存储的哈希值被截断、篡改。 #

排查修复步骤 #

1. 先确认数据库存储配置合规 #

• 存储密码哈希的数据库字段必须设置为VARCHAR(255)，password_hash()使用的PASSWORD_DEFAULT算法会随PHP版本迭代升级，生成的哈希长度会动态变化，255长度是官方要求的预留值，字段长度不足会导致哈希被截断，后续永远无法比对成功。
• 注册测试账号后直接查询数据库中的密码字段值，正常bcrypt算法生成的哈希以$2y$开头，长度约60位，如果值带多余转义斜杠、长度不对，先修正注册环节的写入逻辑：生成哈希后不要对值做addslashes、htmlspecialchars等任何二次加工，直接写入数据库即可。

2. 注册环节（signup.php）正确写法参考 #

// 接收用户提交的明文密码，不要提前做md5、转义等任何处理
$plainPwd = $_POST['password'];
// 不要自定义盐值、不要修改算法参数，用默认配置即可，安全性足够
$hashPwd = password_hash($plainPwd, PASSWORD_DEFAULT);
// 后续预处理SQL把$hashPwd写入对应用户的密码字段即可

注意：绝对不要对明文密码做任何前置处理后再调用password_hash()，否则生成的哈希基准值错误，后续永远无法匹配。

3. 登录环节（login.php）正确验证逻辑 #

这里是绝大多数人踩坑的位置：password_hash()每次生成哈希时都会随机生成盐值，同一个明文密码两次调用生成的哈希字符串完全不同，所以绝对不能把用户输入的密码再做一次哈希，直接和数据库存的值用==比对，必须用官方提供的password_verify()函数做验证。
正确流程代码参考：

// 第一步：根据用户提交的账号标识（用户名/邮箱）查询用户记录，不要在SQL语句里加密码匹配条件
$stmt = $pdo->prepare("SELECT id, password FROM users WHERE username = ?");
$stmt->execute([$_POST['username']]);
$user = $stmt->fetch(PDO::FETCH_ASSOC);

// 第二步：查到用户记录后，再做密码校验
if ($user && password_verify($_POST['password'], $user['password'])) {
    // 校验通过，执行登录逻辑（写入session、跳转用户中心等）
    session_start();
    $_SESSION['user_id'] = $user['id'];
    header("Location: user_center.php");
    exit;
} else {
    // 校验失败，返回统一的模糊提示，不要明确提示是账号不存在还是密码错，避免被枚举账号
    $errMsg = "用户名或密码错误";
}

高频踩坑点检查清单 #

• 不要在登录环节对用户输入的密码调用password_hash()后再和数据库值比对，这个写法必然验证失败。
• 检查前后端是否对用户输入的密码做了多余处理，比如自动拼接空格、强制转义特殊字符，除了必要的长度校验外，不要修改用户输入的原始密码值。
• 如果用了框架/全局转义配置，确认写入数据库的哈希值没有被自动转义，比如$2y$被转义成\$2y\$会直接导致验证失败。
• 不要自己实现任何自定义加密、哈希逻辑，password_hash和password_verify是PHP官方专门为密码存储设计的函数，自带时序攻击防护，满足安全登录系统的密码存储要求。

内容的提问来源于stack exchange，提问作者Pedro Brandao