相同参数下password_hash能否生成重复哈希？加time()能否生成唯一Token？

嘿，我来帮你一步步理清这些问题：

1. 相同参数调用password_hash会生成相同结果吗？ #

答案是几乎不可能。因为当你使用PASSWORD_BCRYPT算法时，password_hash()函数会自动生成一个随机的盐值（salt），并把盐值包含在最终的哈希结果里。每次调用时，盐都是随机生成的，哪怕你传入的明文和cost参数完全一样，最终的哈希字符串也会不同。

举个例子，哪怕你重复执行：

password_hash('12345678', PASSWORD_BCRYPT, ['cost' => 13]);

执行n次后得到相同结果的概率低到可以忽略不计——毕竟BCRYPT的盐是16字节的随机值，理论上的重复概率是1/(2^128)，这在实际场景中几乎不可能发生。

2. 添加time()的修改方案能保证始终不同吗？ #

其实这个方案有点画蛇添足，而且也不能100%保证绝对唯一。

• 首先，time()返回的是秒级时间戳，如果在同一秒钟内多次调用这个修改后的函数，'12345678'.time()的结果是完全一样的，这时候还是得依赖password_hash()的随机盐来保证结果不同——而前面已经说过，这种情况重复的概率本来就极低。
• 其次，就算你不用time()，原有的password_hash()已经能通过随机盐确保每次结果不同，加time()并没有提升唯一性的保障，反而可能让哈希的输入变长（不过这影响不大）。

3. 无需查询数据库的唯一Token生成方案 #

如果你的核心需求是生成无需查库就能确保唯一的Token，除了依赖password_hash()的随机特性外，还有更直接的方案：

• 使用random_bytes()生成强随机值：这是PHP推荐的加密安全随机数生成函数，你可以生成足够长的随机字节，再转成Base64或十六进制字符串，比如：

  $token = base64_encode(random_bytes(32)); // 生成32字节的随机值，转成Base64后约44字符
  

  32字节的随机值有2^256种可能，重复概率比BCRYPT还要低得多，完全不需要查库验证唯一性。

• 使用UUID：比如UUIDv4（随机UUID），PHP可以通过第三方库（如ramsey/uuid）或者PHP 9+内置的uuid_create()函数生成，UUIDv4的重复概率同样极低，而且格式标准，适合作为Token使用。

总结一下：password_hash()本身就能保证每次结果几乎唯一，不需要额外加time()；如果要更稳妥的唯一Token，直接用加密安全的随机数生成方案会更合适。

内容的提问来源于stack exchange，提问作者Ricard Espinàs Llovet