PHP 怎么PHP 密码升级

本文目录导读：

1. 推荐方案：直接使用 password_hash + password_needs_rehash
2. 渐进式升级策略
3. 多算法兼容方案
4. 数据库迁移脚本示例
5. 完整的使用示例
6. 最佳实践建议

我来帮你梳理 PHP 密码升级的几种主流方案，密码升级指的是将系统中已有的旧密码（如 MD5、SHA1 等）升级为更安全的哈希算法（如 password_hash）。

推荐方案：直接使用 password_hash + password_needs_rehash

这是 PHP 官方推荐的密码哈希方式：

<?php
class PasswordUpgrader {
    // 存储用户的密码哈希
    public function storePassword($userId, $password) {
        $hash = password_hash($password, PASSWORD_BCRYPT);
        // 存入数据库
        $this->saveToDB($userId, $hash);
    }
    // 验证密码并自动升级
    public function verifyAndUpgrade($userId, $password) {
        $storedHash = $this->getFromDB($userId);
        // 验证旧密码
        if (password_verify($password, $storedHash)) {
            // 检查是否需要重新哈希（算法升级或成本因子变更）
            if (password_needs_rehash($storedHash, PASSWORD_BCRYPT, ['cost' => 12])) {
                $newHash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);
                $this->saveToDB($userId, $newHash);
            }
            return true;
        }
        // 处理旧算法密码（如 MD5）
        if ($this->checkOldHash($password, $storedHash)) {
            $newHash = password_hash($password, PASSWORD_BCRYPT);
            $this->saveToDB($userId, $newHash);
            return true;
        }
        return false;
    }
    // 兼容旧算法
    private function checkOldHash($password, $storedHash) {
        // 判断是否为旧 MD5 格式
        if (strlen($storedHash) == 32 && ctype_xdigit($storedHash)) {
            return md5($password) === $storedHash;
        }
        // 其他旧算法...
        return false;
    }
}

渐进式升级策略

适用于已有大量用户的系统：

<?php
class ProgressivePasswordUpgrader {
    const BATCH_SIZE = 100;
    // 分批升级旧密码
    public function batchUpgrade($batchSize = self::BATCH_SIZE) {
        $oldUsers = $this->getUsersWithOldPassword($batchSize);
        foreach ($oldUsers as $user) {
            // 无法直接升级，需要用户下次登录时处理
            // 标记需要升级
            $this->markForUpgrade($user['id']);
        }
        return count($oldUsers);
    }
    // 获取使用旧密码格式的用户
    private function getUsersWithOldPassword($limit) {
        // 根据哈希长度或格式判断
        $sql = "SELECT id, password FROM users 
                WHERE LENGTH(password) = 32 
                AND password_needs_upgrade = 0 
                LIMIT ?";
        // 执行查询...
    }
    // 用户登录时自动升级
    public function loginAndUpgrade($username, $password) {
        $user = $this->findByUsername($username);
        // 尝试所有已知的旧算法
        if ($this->tryOldAlgorithms($password, $user['password'])) {
            // 升级到新算法
            $newHash = password_hash($password, PASSWORD_BCRYPT);
            $this->updatePassword($user['id'], $newHash);
            return true;
        }
        // 使用新算法验证
        return password_verify($password, $user['password']);
    }
}

多算法兼容方案

如果你的系统有多种旧密码格式：

<?php
class MultiAlgorithmHash {
    // 密码格式：算法标识符:哈希值
    // 如：bcrypt:$2y$10$... 或 md5:5d41402abc4b2a76b9719d911017c592
    public function createHash($password) {
        return 'bcrypt:' . password_hash($password, PASSWORD_BCRYPT);
    }
    public function verify($password, $storedHash) {
        // 解析算法标识
        list($algorithm, $hash) = explode(':', $storedHash, 2);
        switch ($algorithm) {
            case 'bcrypt':
                return password_verify($password, $hash);
            case 'md5':
                return md5($password) === $hash;
            case 'sha1':
                return sha1($password) === $hash;
            case 'sha256':
                return hash('sha256', $password) === $hash;
            default:
                return password_verify($password, $storedHash);
        }
    }
    public function needsUpgrade($storedHash) {
        return strpos($storedHash, 'bcrypt:') !== 0;
    }
}

数据库迁移脚本示例

-- 添加新密码字段
ALTER TABLE users ADD COLUMN password_hash VARCHAR(255) AFTER password;
ALTER TABLE users ADD COLUMN password_upgraded TINYINT(1) DEFAULT 0;
-- 创建索引
ALTER TABLE users ADD INDEX idx_password_upgraded (password_upgraded);

完整的使用示例

<?php
// 用户注册
function registerUser($username, $password) {
    $hash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);
    // 存储到数据库
}
// 用户登录（自动升级）
function loginUser($username, $password) {
    $user = getUserByUsername($username);
    // 检查是否已升级
    if ($user['password_upgraded']) {
        if (password_verify($password, $user['password_hash'])) {
            // 检查是否需要重新哈希
            if (password_needs_rehash($user['password_hash'], PASSWORD_BCRYPT, ['cost' => 12])) {
                $newHash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);
                updateUserPassword($user['id'], $newHash);
            }
            return true;
        }
    } else {
        // 尝试旧密码
        if (md5($password) === $user['password']) {
            // 升级到新算法
            $newHash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);
            upgradeUserPassword($user['id'], $newHash);
            return true;
        }
    }
    return false;
}

最佳实践建议

1. 使用 PASSWORD_BCRYPT 或 PASSWORD_ARGON2ID（PHP 7.3+）
2. 设置合适的 cost 值：BCRYPT 推荐 cost=10-12
3. 利用 password_needs_rehash()：自动检测是否需要升级
4. 渐进式升级：不要一次性升级所有用户
5. 保留旧密码备份：升级完成后可删除
6. 记录升级日志：便于追踪问题

这样实现后，用户登录时会自动完成密码升级,用户体验流畅且安全。