PHPの機能：crypt（string str、string [salt]）はどのように動作しますか？塩が暗号化された結果と同じである可能性はありますか？

Question

最近、私は新しいWebアプリケーションを学びます。そのユーザ認証の部分では、PHPでcrypt（）を使ってユーザを認証しています。しかし、コードは以下のようなものです：

if ($auth != crypt(md5($cdata), $auth)) 
{ 
    exit(); //exit 
} 
//the code after authorization; 

それは、認可後のコードを実行できるように、この機能では、塩は、暗号化された結果に等しいことができることは可能ですか？ 私はこれを全く理解できません。答えに熱心なので、ありがとう！

Answer 1

まず、crypt()とmd5()を使用しないでください。password_hash()とpassword_verify()を使用してください。詳細はhttp://php.net/password_hashを参照してください。これらの関数は非常に使いやすく、設定を必要とせず、5.3.9までのほとんどすべてのPHPバージョン（ネイティブ関数がまだ含まれていない場合はPHPライブラリ）で使用できます。

第2に、作成されたハッシュ（暗号でも）には塩が含まれているため、パスワードの以前に作成されたハッシュ値についてはpassword_verify()が知る必要があります。それは、salt部分とそれからハッシュパラメータを読み込み、指定された新しいパスワードをsaltとパラメータでハッシュし、現在与えられているパスワードからの結果が古いハッシュと同じであれば、パスワードは正しいです。

例示する：

echo password_hash('foo', PASSWORD_DEFAULT); 

> $2y$10$ODIL7VQp1aLOfLrEv2rPQ.wFIbBr7hvQtMTuw4B4xnB/qI7nnMpVO 

$2y$は（bcryptのある）ハッシュアルゴリズムを知らせる、以下10$はbcryptの（ハッシュの10ラウンド）ためのパラメータであり、文字列の残りの部分は、部分的に塩で部分的にはハッシュ値です。 password_hash()を呼び出すと、塩の値がランダムに生成され、毎回異なる文字列が返されることに注意してください。パスワードの確認

var_dump(password_verify('foo', '$2y$10$ODIL7VQp1aLOfLrEv2rPQ.wFIbBr7hvQtMTuw4B4xnB/qI7nnMpVO')); 

> bool(true) 

はいつもこのように簡単です：password_verify()に新しいパスワードと古いハッシュを渡す - それらが一致する場合、それはtrueを返します。