如何用PHP验证Dovecot的SHA512-CRYPT哈希值？

嘿，刚好我之前处理过类似的Dovecot密码验证需求，给你分享下靠谱的实现方式：

首先得明确：Dovecot生成的SHA512-CRYPT哈希会带一个前缀标识{SHA512-CRYPT}，后面跟着标准的CRYPT_SHA512格式字符串（也就是$6$<salt>$<哈希内容>）。PHP的密码验证函数只认标准CRYPT格式，所以第一步要把Dovecot的前缀剥离掉，再进行验证。

方法一：用password_verify（推荐，简洁安全） #

这个函数是PHP官方推荐的密码验证方法，内部已经处理了安全对比（避免时序攻击），用法很简单：

// 从数据库中取出的存储哈希（Dovecot格式）
$storedHash = "{SHA512-CRYPT}$6$你的盐值$生成的哈希内容";
// 用户输入的明文密码
$userInputPassword = "123456";

// 剥离Dovecot的前缀，得到标准CRYPT_SHA512格式的哈希
$standardCryptHash = substr($storedHash, strpos($storedHash, '$'));

// 执行验证
if (password_verify($userInputPassword, $standardCryptHash)) {
    echo "身份认证成功！";
} else {
    echo "密码错误，请重试！";
}

方法二：用crypt手动生成对比 #

如果你想更清楚验证的底层逻辑，可以用crypt函数手动生成哈希再对比，记得要用hash_equals做安全对比：

$storedHash = "{SHA512-CRYPT}$6$你的盐值$生成的哈希内容";
$userInputPassword = "123456";

// 提取标准CRYPT格式部分
$standardCryptHash = substr($storedHash, strpos($storedHash, '$'));

// 用crypt生成新哈希（函数会自动从传入的standardCryptHash中提取盐值和算法）
$generatedHash = crypt($userInputPassword, $standardCryptHash);

// 安全对比两个哈希值
if (hash_equals($generatedHash, $standardCryptHash)) {
    echo "身份认证成功！";
} else {
    echo "密码错误，请重试！";
}

注意事项 #

• 确保你的PHP版本在5.3.7及以上，这个版本开始原生支持CRYPT_SHA512算法（也就是$6$前缀对应的算法），主流服务器环境都满足这个要求。
• 不要手动解析盐值再生成哈希，直接用crypt或者password_verify自带的盐值提取逻辑，避免处理格式错误。

内容的提问来源于stack exchange，提问作者BliccZ