在外部应用中使用PHP验证WordPress哈希密码的问题

嘿，我完全懂你碰到的困扰——你用wp_hash_password()生成的哈希每次都不一样，根本没法直接和数据库里存的哈希对比，对吧？这其实是WordPress的安全设计导致的，听我给你解释清楚：

WordPress的wp_hash_password()函数每次生成哈希时，都会自动生成一个随机的盐值，并把这个盐值嵌入到最终的哈希字符串里（就是你看到的$P$开头的那段字符串里包含了盐和算法信息）。所以每次生成的哈希自然不一样，但这恰恰是更安全的做法，能避免彩虹表攻击。

那正确的校验方式应该用WordPress自带的wp_check_password()函数，它会帮你自动处理盐值的提取和哈希对比，不用你自己去解析哈希字符串。

代码示例 #

// 从WordPress数据库用户表中获取到的存储哈希
$stored_hash = '$P$9jWFhEPMfI.KPByiNO9IyUzSTG7EZK0';
// 用户登录时输入的明文密码
$user_input_password = '用户输入的密码';

// 调用wp_check_password进行校验
if (wp_check_password($user_input_password, $stored_hash)) {
    // 密码匹配，执行登录逻辑
    echo '登录成功！';
} else {
    // 密码不匹配，提示错误
    echo '密码错误，请重新输入。';
}

为什么这个函数能生效？ #

wp_check_password()会自动解析存储的哈希字符串，从中提取出使用的算法、迭代次数和盐值，然后用这些参数对用户输入的明文密码进行哈希运算，最后把新生成的哈希和数据库里存储的哈希做对比——这样即使每次生成的哈希不同，也能准确验证密码是否正确。

内容的提问来源于stack exchange，提问作者Shehzadi khushi