PHP登录表单使用MD5加密密码后数据库仅接受加密密码，该如何处理？

问题根因 #

你当前的注册逻辑是将用户输入的明文密码做MD5哈希后存入数据库，登录时无法验证明文密码的核心原因是登录逻辑没有对用户输入的密码做同样的MD5哈希计算，再和库中存储的哈希值比对。但MD5属于严重不安全的哈希算法，早已不适合用于密码存储，最优方案是替换为PHP原生的安全密码哈希API。

最优修复步骤 #

1. 替换注册阶段的MD5加密逻辑 #

使用PHP原生的password_hash()函数生成安全哈希值存入数据库，该函数默认采用bcrypt算法，自带随机盐，可有效抵御彩虹表、暴力碰撞等攻击，安全性远高于MD5。
修改后的注册代码示例：

$user_name = trim($_POST['user_name']);
$raw_password = $_POST['password'];

// 输入合法性校验
if(!empty($user_name) && !empty($raw_password) && !is_numeric($user_name)) {
    // 生成安全密码哈希，默认参数即可满足绝大多数场景的安全需求
    $password_hash = password_hash($raw_password, PASSWORD_DEFAULT);
    $user_id = random_num(20);
    // 提示：原代码直接拼接SQL存在SQL注入风险，建议改为预处理语句执行
    $query = "insert into users (user_id,user_name,password) values ('$user_id','$user_name','$password_hash')";
    // 后续执行SQL的逻辑
}

2. 编写正确的登录验证逻辑 #

登录时无需手动计算哈希，直接使用password_verify()函数，比对用户输入的明文密码和数据库中存储的哈希值即可：

$user_name = trim($_POST['user_name']);
$input_password = $_POST['password'];

if(!empty($user_name) && !empty($input_password)) {
    // 先根据用户名从数据库查询对应存储的密码哈希值$stored_hash
    $query = "select password from users where user_name = '$user_name' limit 1";
    // 执行查询拿到$stored_hash后做验证
    if(password_verify($input_password, $stored_hash)) {
        // 验证通过，执行登录态写入等逻辑
    } else {
        // 密码错误，返回对应提示
    }
}

额外说明 #

• 原有直接拼接SQL字符串的写法存在严重SQL注入风险，所有数据库操作必须使用预处理语句绑定参数，避免数据泄露。
• 如果业务已有存量MD5加密的密码，可做平滑过渡：登录时先判断存储的哈希是否为MD5格式，若是则先对用户输入的密码做MD5计算，和库中值比对，验证通过后自动用password_hash()生成新的安全哈希覆盖旧值，逐步完成全量替换。
• 若暂时无法替换MD5方案，临时修复方法为：在登录逻辑中对用户输入的明文密码做同样的MD5计算，再和库中存储的MD5值比对即可，但强烈不建议长期使用MD5存储密码，其碰撞成本极低，无法保障用户账号安全。

内容的提问来源于stack exchange，提问作者mahdimaster