PHP+MySQL+HTML登录开发中SHA256密码哈希匹配失败问题求助

核心原因定位 #

结合代码逻辑与测试现象，哈希不匹配的问题按出现概率排序为：

• 注册环节存储逻辑未统一，部分用户密码以明文/非完整哈希形式存入数据库
• 数据库password字段长度不足，导致SHA256哈希被截断存储

你验证的「直接粘贴数据库存储的密码值到登录框、跳过哈希即可登录」的现象完全匹配上述问题：
若数据库存的是明文，跳过哈希直接比对自然能通过；登录时对明文做SHA256生成的哈希与数据库明文必然不相等
若数据库存的是被截断的哈希，登录时生成的64位完整哈希与截断值自然不匹配；粘贴截断值跳过哈希比对必然通过

代码层面的具体问题 #

1. 注册逻辑遗留调试代码 #

注册代码中存在被注释的调试行：

$pass = hash('sha256',$pass1);
// $pass = $pass1;

开发初期曾放开该注释直接存储明文密码，后续虽改回哈希逻辑，但旧账号仍保留明文存储，导致校验逻辑不统一。

2. 密码输入未做统一处理 #

注册环节仅对邮箱、姓名字段做了test_input()过滤，密码字段$pass1未做任何处理直接参与哈希；若注册时密码带首尾空格、登录时未做相同过滤，会生成完全不同的哈希值。

3. 数据库字段配置错误 #

SHA256十六进制输出固定为64字符，若建表时password字段设为VARCHAR(32)等更短长度，MySQL非严格模式下会自动截断哈希，导致存储值不完整。

修复操作步骤 #

• 排查现有账号密码存储状态
  执行SQL查询校验密码长度：

  SELECT email, LENGTH(password) AS pwd_len, password FROM customer;
  SELECT email, LENGTH(password) AS pwd_len, password FROM employee;
  

  若pwd_len不为64，说明存在明文存储或哈希截断问题。
• 统一注册、登录的密码处理逻辑
  两个环节必须使用完全一致的输入过滤与哈希生成代码：

  // 统一逻辑示例
  $pass_raw = trim($_POST['对应密码字段名']);
  $pass_hash = hash('sha256', $pass_raw);
  

  彻底删除注册代码中遗留的调试注释行，避免误操作。
• 修正数据库字段长度
  将两个表的password字段调整为固定64长度，避免哈希截断：

  ALTER TABLE customer MODIFY password CHAR(64) NOT NULL;
  ALTER TABLE employee MODIFY password CHAR(64) NOT NULL;
  

• 清理历史错误数据
  清空现有不符合格式的旧密码，要求用户重新注册生成完整哈希值。

额外安全优化建议（课程作业适用） #

• 改用预处理语句拼接SQL，替代直接拼接用户输入的写法，避免SQL注入漏洞
• 替换SHA256自行哈希逻辑，使用PHP内置的password_hash()、password_verify()函数，降低实现风险

内容的提问来源于stack exchange，提问作者Tom Grant