PHP 7.2中sodium_crypto_pwhash_str_verify()验证失败问题求助

我之前帮不少开发者排查过libsodium密码哈希验证的坑，咱们一步步来定位问题：

1. 先确认libsodium扩展是否正常启用 #

虽然PHP 7.2+已经内置了libsodium，但偶尔会出现没正确加载的情况。先跑这段代码确认状态：

var_dump(extension_loaded('sodium'));
var_dump(PHP_VERSION);

如果输出bool(false)，说明扩展没启用——Windows环境需要在php.ini里加extension=sodium，Linux环境加extension=sodium.so，然后重启Web服务器即可。

2. 用最简化流程测试，排除干扰 #

很多时候问题出在哈希传递过程中被意外修改了，比如echo输出时带了换行/空格，或者存储时字段长度不够。先试试这段无干扰的官方示例：

<?php
$password = "test";

// 生成哈希（用官方推荐的交互式参数）
$hash = sodium_crypto_pwhash_str(
    $password,
    SODIUM_CRYPTO_PWHASH_OPSLIMIT_INTERACTIVE,
    SODIUM_CRYPTO_PWHASH_MEMLIMIT_INTERACTIVE
);

// 直接验证，不要提前echo哈希再复用
if (sodium_crypto_pwhash_str_verify($hash, $password)) {
    echo "works!";
} else {
    echo "failed!";
}

如果这段代码能正常输出works!，那你之前的问题大概率是哈希被意外篡改了：比如复制echo出来的哈希时带了换行符，或者数据库存储字段长度不够（哈希字符串大概100多字符，要确保字段是VARCHAR(255)及以上）。

3. 排查编码与字符串处理问题 #

libsodium的函数是二进制安全的，但如果你的代码文件不是UTF-8编码，或者对密码/哈希做了多余的字符串处理（比如trim()，除非你明确知道密码不会有首尾空格），也会导致验证失败。确保密码和哈希都保持原始的字符串状态，不要做额外转码或裁剪。

4. 检查PHP版本与扩展兼容性 #

如果你的PHP是7.2早期版本，可能存在libsodium的实现bug，建议升级到7.2的最新小版本，或者直接升级到PHP 7.4+（libsodium的实现更稳定）。另外，如果你是通过PECL安装的libsodium扩展（而非PHP内置版本），可能存在版本不兼容问题，建议卸载PECL版本，改用PHP内置的扩展。

内容的提问来源于stack exchange，提问作者Katai