Laravel中bcrypt哈希为何随机？登录时如何识别验证？

这个问题问到点子上了，本质是两种哈希算法的设计目标和机制完全不同：

• sha1属于单向哈希函数：它的设计逻辑就是相同输入必然输出固定的哈希值，默认情况下不会自动加盐。好处是计算速度快，但缺点也很致命——一旦哈希库泄露，攻击者用彩虹表（预计算好的密码-哈希映射表）就能轻松破解，安全性极低，现在已经被业界弃用了。

• bcrypt属于自适应加盐哈希函数：它从设计之初就把「安全性」放在第一位。每次哈希密码时，算法会自动生成一个随机的盐值，然后把这个盐和你的密码混合在一起进行哈希运算。而且这个盐值会直接包含在最终生成的哈希字符串里（比如bcrypt哈希格式是$2y$10$[盐值][哈希结果]，其中10是控制计算难度的成本因子）。正因为每次的盐都不一样，所以同一个密码每次哈希出来的结果自然不同。

Laravel的Hash门面已经帮我们封装好了整套验证逻辑，核心原理其实很简单：
当你调用Hash::check($用户输入的密码, $数据库存储的哈希值)时，框架会自动完成这几步：

1. 从存储的哈希字符串里解析出盐值和成本因子；
2. 用解析出来的盐和成本因子，对用户输入的密码重新执行bcrypt哈希运算；
3. 把新生成的哈希值和数据库里存储的哈希值做对比——如果两者一致，就说明密码正确。

举个直观的例子：假设数据库存的哈希是$2y$10$abcdefghijklmnopqrstu$xyz...，框架会提取出盐abcdefghijklmnopqrstu和成本因子10，用这些参数哈希用户输入的12345678，然后和原哈希对比，一致就通过验证。

这种设计既保证了安全性（防彩虹表、防暴力破解），又不需要我们手动管理盐值，非常省心～

内容的提问来源于stack exchange，提问作者Tojo