MySQLi旧密码验证异常求助：输入正确旧密码仍提示错误

Hey there, let's dig into why your old password check is throwing that "密码不正确" error even when you enter the right one. Based on common pitfalls with password validation in PHP, here are the most likely fixes:

1. 你可能在直接对比明文和哈希密码 #

If you stored the original password using password_hash() (which you absolutely should!), you can't just compare the input old password directly to the value in the database. The password_hash() function generates a unique, salted hash every time, so a straight string comparison will never match.

Instead, you need to use password_verify() to check if the input matches the stored hash. Here's how that should look:

// 首先获取当前用户的存储密码（从session获取用户ID）
$user_id = $_SESSION['current_user_id']; // 替换成你实际的用户ID来源
$stmt = mysqli_prepare($con, "SELECT password FROM your_users_table WHERE id = ?");
mysqli_stmt_bind_param($stmt, "i", $user_id);
mysqli_stmt_execute($stmt);
mysqli_stmt_bind_result($stmt, $stored_password);
mysqli_stmt_fetch($stmt);
mysqli_stmt_close($stmt);

// 验证旧密码
$old_password = $_POST['ilkm_old_password'];
if (password_verify($old_password, $stored_password)) {
    // 旧密码验证通过，开始设置新密码
    $new_password_hash = password_hash($_POST['ilkm_new_password'], PASSWORD_DEFAULT);
    // 在这里编写更新数据库的代码...
    echo "密码修改成功！";
} else {
    echo "密码不正确";
}

2. 你可能错误地转义了要验证的密码 #

你的代码里用了mysqli_real_escape_string()处理旧密码输入。如果用password_verify()的话千万别这么做！ 转义字符会修改原始输入字符串，导致无法匹配存储的哈希值。验证步骤直接使用$_POST里的原始输入即可。

3. SQL查询可能没有定位到当前用户 #

如果获取旧密码的查询没有通过WHERE子句锁定当前登录用户，你可能拿到的是数据库里其他用户的密码（比如表中第一个用户的密码）。一定要确保你获取的是当前已认证用户的密码（用session或cookie里的用户ID来定位）。

4. 数据库字段长度可能不足 #

如果用password_hash()生成哈希，结果是60个字符的长度。如果MySQL里的password字段设置了更短的长度（比如VARCHAR(32)），哈希值会被截断。请确认你的字段设置为**VARCHAR(255)**来避免这个问题。

5. 你可能在存储明文密码（不推荐，但如果是这种情况...） #

如果你直接存储明文密码（这是极大的安全风险），问题可能出在mysqli_real_escape_string()修改了输入字符串，导致和数据库里的明文不匹配。比如密码里有引号字符，转义后会添加反斜杠，让两个字符串不一样。

安全提醒 #

永远使用password_hash()和password_verify()，不要存储明文密码或自己实现哈希逻辑。这组函数是PHP内置的，安全可靠，还会自动处理加盐。

内容的提问来源于stack exchange，提问作者Beytulla OO