调用参数损坏的PHP password_verify()函数会产生什么结果？

首先，根据PHP官方文档的定义：

password_verify()函数在用户输入的密码与password_hash()生成的哈希值匹配时返回TRUE，不匹配则返回FALSE。

它的参数规则很明确：

• 第一个参数是用户提交的原始密码（无需额外预处理，函数会自行处理）
• 第二个参数是由password_hash()生成的合法哈希字符串

参数损坏/无效时的实际表现 #

官方文档确实没有明确提及参数损坏或无效时的错误、异常及警告信息，但实际测试下来有这些固定表现：

• 如果传入的哈希值完全不符合password_hash()生成的标准格式（比如随便输入一段普通字符串），函数会直接返回FALSE，不会抛出任何异常或警告
• 如果哈希值格式部分合法但被篡改（比如修改了哈希值开头的算法标识，比如把$2y$改成$3x$），函数同样返回FALSE，不会触发错误
• 即使传入的密码参数是空字符串，只要哈希值不是空字符串对应的合法哈希，也会返回FALSE

示例代码 #

// 正常匹配场景
$hash = password_hash('mySecurePassword', PASSWORD_DEFAULT);
var_dump(password_verify('mySecurePassword', $hash)); // 输出 bool(true)

// 密码不匹配场景
var_dump(password_verify('wrongPassword', $hash)); // 输出 bool(false)

// 传入无效哈希值场景
var_dump(password_verify('mySecurePassword', 'invalid-hash-string')); // 输出 bool(false)

// 篡改哈希算法标识场景
$tamperedHash = str_replace('$2y$', '$3x$', $hash);
var_dump(password_verify('mySecurePassword', $tamperedHash)); // 输出 bool(false)

总结一下：password_verify()的设计非常稳健，它会默默处理各种参数异常情况，始终通过返回TRUE/FALSE来告知匹配结果，不会因为参数问题抛出错误，这也让它在实际业务中使用起来非常省心，不需要额外的异常捕获逻辑。

内容的提问来源于stack exchange，提问作者humanityANDpeace