如何对HTML注册表单提交至MySQL数据库的用户密码进行哈希加密？

嘿，这个密码直接存数据库的问题可太危险了，必须马上处理！好在PHP已经给我们提供了非常简便且安全的密码哈希方案，完全不用自己折腾加盐或者复杂的算法，咱们一步一步来改：

1. 对用户输入的密码进行哈希处理 #

PHP的password_hash()函数是官方推荐的密码哈希工具，它会自动生成随机的盐值，并且默认采用安全性很高的bcrypt算法（后续也会自动适配更优的算法）。结合你现有的代码，修改方式如下：

// 获取用户提交的表单数据
$Name = $_POST['Name'];
$Age = $_POST['Age'];
$Location = $_POST['Location'];
$Password = $_POST['Password'];

// 对密码进行哈希处理
$hashedPassword = password_hash($Password, PASSWORD_DEFAULT);

之后你把数据库插入语句里的原密码替换成$hashedPassword就可以了——千万不要存原密码，只存这个哈希后的字符串！

2. 登录时验证哈希密码 #

当用户后续登录时，不能直接把输入的密码再哈希一遍去对比（因为每次哈希的盐值不同，结果也不一样），要使用password_verify()函数来验证：

// 假设从数据库中取出该用户的哈希密码，存在$storedHash变量里
$userInputPassword = $_POST['LoginPassword'];

if (password_verify($userInputPassword, $storedHash)) {
    // 密码匹配，登录成功
    echo "登录成功！欢迎回来~";
} else {
    // 密码不匹配，登录失败
    echo "密码错误，请重试！";
}

3. 几个关键注意事项 #

• 数据库字段长度：PASSWORD_DEFAULT生成的哈希值大约是60个字符，所以你的数据库密码字段要设置为VARCHAR(255)（别设成60，留些冗余空间防止算法更新后哈希值变长），避免哈希值被截断导致验证失败。
• 别用弱哈希算法：绝对不要用MD5、SHA1这类已经被破解的算法，也不要自己手动加盐——password_hash()已经帮你做好了所有安全细节。
• 防止SQL注入：处理数据库操作时一定要用预处理语句（PDO或mysqli预处理），比如用PDO的插入示例：

  // 假设已经通过PDO连接到数据库
  $stmt = $pdo->prepare("INSERT INTO users (Name, Age, Location, Password) VALUES (:name, :age, :location, :password)");
  $stmt->execute([
      ':name' => $Name,
      ':age' => $Age,
      ':location' => $Location,
      ':password' => $hashedPassword
  ]);
  

这样处理之后，就算数据库被泄露，攻击者也很难逆向破解出用户的真实密码，安全性会提升一大截！

内容的提问来源于stack exchange，提问作者Dillon Dooley