将网站升级为纯PHP架构时如何兼容原有WordPress用户密码完成登录验证

• 存量数据同步阶段：完整将原WordPress站点wp_users表中user_pass字段的哈希值、用户ID字段原样迁移到新系统的用户核心表，迁移过程中禁止对原哈希值做字符转码、截断、格式改写操作，保证哈希值和原库完全一致，这是旧密码能正常登录的核心前提。
• 登录校验阶段：在新系统的登录流程中内嵌兼容层，1:1复刻WordPress的密码校验判断逻辑，对用户输入的明文密码，走对应WP的哈希匹配流程完成身份校验，不要直接用新系统默认的密码校验逻辑直接匹配旧哈希值。
• 平滑过渡阶段：当用户首次使用旧密码通过校验后，自动将对应用户的密码哈希替换为新系统采用的标准强哈希（比如适配PHP原生password_hash的bcrypt格式），后续该用户的登录直接走新系统的原生校验逻辑，逐步降低对WP兼容逻辑的依赖。

• 核心源码追溯渠道：下载与原站点运行版本完全一致的WordPress核心源码，定位两个核心实现位置即可拿到完整规则：一是wp-includes/pluggable.php文件中定义的wp_hash_password、wp_check_password函数，二是wp-includes/class-phpass.php中定义的密码哈希处理类，这部分是WP密码计算、校验逻辑的一手权威实现，完整覆盖了不同历史版本的哈希格式识别、盐值拼接规则、哈希计算参数要求。
• 本地配置提取渠道：从原站点根目录的wp-config.php文件中，备份所有安全密钥配置项——需要注意的是，WordPress的用户密码哈希本身是将盐值嵌入在哈希字符串中共同存储的，这些配置密钥仅用于会话Cookie、接口鉴权等场景，和用户密码哈希的计算逻辑无绑定，要严格区分两类配置的用途，避免混淆。
• 离线文档查阅渠道：获取对应版本WordPress的本地离线开发文档包，其中对不同版本的哈希规则迭代有明确说明，比如WP 5.0版本对默认哈希算法的参数调整、旧版MD5格式哈希的兼容逻辑，都可以在本地文档中直接查阅，不需要依赖外部站点跳转。

• 不要直接使用PHP原生password_verify函数校验WP生成的旧哈希：WP 4.9版本之前生成的、以$P$为前缀的Phpass格式哈希，是自定义扩展实现，参数和标准bcrypt存在差异，直接调用原生函数会出现校验失败。
• 新系统的用户表密码字段长度要和原WP保持一致（至少255字符），避免长哈希值被数据库截断导致校验失效。
• 兼容层的校验逻辑要做访问频率限制，避免被恶意撞库探测。

内容的提问来源于stack exchange，提问作者Md. Hasan Mahmud