PHP密码重置后password_verify验证失败问题求助

嘿，我之前也碰到过几乎一模一样的问题！手动复制哈希到数据库验证正常，但通过脚本写入后就验证失败，大概率是哈希值在存储过程中被悄悄修改了，给你梳理几个最可能的原因和排查步骤：

最常见的坑：PDO插入时的错误处理 #

你提到用了PDO准备语句，但有没有可能在绑定参数或者拼接SQL的时候做了多余的操作？比如：

• 手动给哈希值做了转义（比如用addslashes()）：password_hash生成的哈希里有一堆$符号，转义后会变成\$，这直接破坏了哈希的结构，password_verify肯定认不出来。
• 没有用参数绑定，而是直接把哈希拼进SQL语句里：这种做法不仅有SQL注入风险，还可能因为哈希里的特殊字符被数据库转义，导致存储的哈希和生成的不一致。

正确的PDO插入写法应该是这样的，啥额外处理都不要加：

// 生成哈希后直接绑定参数插入
$stmt = $pdo->prepare("UPDATE users SET password = :hash WHERE email = :email");
$stmt->bindParam(':hash', $hash, PDO::PARAM_STR);
$stmt->bindParam(':email', $_POST['email'], PDO::PARAM_STR);
$stmt->execute();

其他可能的原因 #

1. 哈希生成后被意外修改：比如你在生成$hash后，有没有做过trim()或者其他字符串处理？或者前端传过来的密码有空格，你trim了密码但哈希后又不小心trim了哈希？这都会导致哈希值变化。
2. 数据库字段的小问题：虽然你用了varchar(255)，但如果字段的字符集是latin1而非utf8/utf8mb4（虽然哈希是ASCII字符，概率低，但也可以排查），或者字段有默认的空格填充，也可能出问题。

快速排查步骤 #

1. 对比生成的哈希和数据库存储的哈希：在找回密码脚本里，生成哈希后直接输出它，然后去数据库里取出这条记录的哈希，复制出来对比——如果不一样，说明存储过程中被改了。

   $password = $_POST["password"];
   $hash = password_hash($password, PASSWORD_DEFAULT);
   echo "生成的哈希：" . $hash; // 直接看这个值
   exit;
   

2. 本地验证数据库里的哈希：把数据库里的哈希复制出来，本地写个小脚本测试：

   $dbHash = "从数据库复制的哈希";
   $testPass = "用户设置的新密码";
   var_dump(password_verify($testPass, $dbHash));
   

   如果返回false，说明存储的哈希确实不对；如果返回true，那问题可能出在登录时获取哈希的代码里（比如登录时取出哈希后做了trim）。

我当时的问题就是手贱给哈希加了addslashes()，去掉之后就一切正常了，你可以先排查这个点！

内容的提问来源于stack exchange，提问作者bob