如何用PHP验证通过MySQL手动哈希存入数据库的密码？

针对你用SHA1()函数存入数据库的密码，有两种常见的验证方式，我会详细说明：

方法一：PHP本地计算哈希后比对（推荐） #

MySQL的SHA1()函数生成的是大写的40位十六进制哈希字符串，而PHP默认的sha1()函数返回的是小写结果，所以只需要把PHP计算的哈希转成大写，就能和数据库存储的值精确匹配。

具体步骤：

1. 根据用户邮箱（或其他唯一标识）从数据库取出对应的哈希密码
2. 对用户输入的密码计算SHA1哈希并转大写
3. 用严格相等运算符（===）比对两个哈希值

代码示例：

// 假设这是用户登录时输入的密码
$userInputPassword = 'pass123';

// 从数据库查询得到的存储哈希（比如你的示例值）
$storedHash = 'AAFDC23870ECBCD3D557B6423A8982134E17927E';

// 计算输入密码的SHA1哈希并转为大写
$computedHash = strtoupper(sha1($userInputPassword));

// 验证比对
if ($computedHash === $storedHash) {
    echo "密码验证通过！";
} else {
    echo "密码错误，请重试。";
}

方法二：让MySQL直接验证（不推荐） #

你也可以在SQL查询中直接用SHA1()函数比对，但这种方式不建议使用——因为明文密码会出现在查询语句中，可能被数据库日志记录，或者在传输过程中存在泄露风险。

示例SQL语句：

SELECT * FROM users 
WHERE email = 'demo@example.com' 
AND pswd = SHA1('pass123');

如果查询返回非空结果，说明密码正确。但再次强调：这种方法安全性较低，优先选择第一种PHP本地比对的方案。

重要提醒 #

SHA1属于已经被淘汰的弱哈希算法，碰撞风险很高，不建议在新项目中使用。现在更安全的做法是：

• 使用PHP内置的password_hash()函数生成强哈希（默认用bcrypt，也支持Argon2）
• 用password_verify()函数验证密码，这两个函数会自动处理哈希的盐值和算法匹配，安全性和易用性都远高于手动用SHA1。

内容的提问来源于stack exchange，提问作者UkFLSUI