使用password_hash()和password_verify()是PHP安全存储密码的最佳实践，前者基于BCrypt自动生成盐值进行哈希，后者用于验证密码；通过PASSWORD_DEFAULT可保证算法兼容性，并结合password_needs_rehash()在登录时逐步升级旧哈希；避免使用md5、sha1等不安全算法，不手动管理盐值或双重哈希，敏感数据应使用AES等加密算法保护。
在Web开发中，用户数据的安全至关重要，尤其是密码这类敏感信息。PHP作为广泛使用的服务器端语言，提供了多种机制来安全地处理密码存储。直接明文存储密码是严重错误的做法，一旦数据库泄露，所有用户账户将面临巨大风险。正确的做法是使用强哈希算法对密码进行单向加密存储。
使用password_hash()进行密码哈希
PHP 5.5+内置了password_hash()函数，它基于BCrypt算法，能自动生成盐值（salt），避免彩虹表攻击，是目前推荐的密码哈希方式。
示例代码：
$password = "user_password"; $hashedPassword = password_hash($password, PASSWORD_DEFAULT); // 存入数据库
PASSWORD_DEFAULT会自动选择当前最安全的算法（目前为BCrypt），未来PHP升级时仍能保持兼容性。
立即学习“PHP免费学习笔记（深入）”；
使用password_verify()验证密码
用户登录时，不能解密哈希值，而应使用password_verify()将用户输入的密码与数据库中存储的哈希值比对。
示例代码：
$inputPassword = "user_input";
$storedHash = // 从数据库读取的哈希值
if (password_verify($inputPassword, $storedHash)) {
// 登录成功
} else {
// 密码错误
}
该函数会自动提取哈希中的盐并执行相同哈希过程，确保比对准确且安全。
定期更新哈希强度（可选优化）
随着时间推移，计算能力提升可能导致原有哈希强度不足。可通过password_needs_rehash()检测是否需要重新哈希。
完全公开源代码，并无任何许可限制 特别基于大型电子商务网站的系统开发 Microsoft SQL Server 2000后台数据库，充分应用了存储过程的巨大功效 基于类模块的扩展数据访问能力支持任何类型的大型数据库 加密用户登录信息(cookie) 易于安装的系统和应用功能 100%的asp.net的代码，没有COM，java或者其他的格式 完全基于MS建议的系统安全设计 最佳的应用程序,数据库
示例逻辑：
if (password_verify($inputPassword, $storedHash)) {
if (password_needs_rehash($storedHash, PASSWORD_DEFAULT)) {
// 用户密码正确，但哈希参数已过时
$newHash = password_hash($inputPassword, PASSWORD_DEFAULT);
// 更新数据库中的哈希值
}
// 允许登录
}
这种机制可在不影响用户体验的前提下，逐步升级系统中旧的哈希值。
不适用场景与注意事项
不要使用md5、sha1等快速哈希算法：它们设计初衷并非用于密码保护，极易被暴力破解。
不要自己实现盐值管理：虽然可以手动加盐，但容易出错。password_hash()已内置安全盐值生成，无需额外操作。
避免双重哈希或混淆逻辑：如md5(sha1($pass))不仅无益，反而可能降低安全性。
敏感数据加密建议：若需加密存储其他敏感信息（如邮箱、身份证），应使用openssl扩展配合AES等对称加密算法，并妥善管理密钥。
基本上就这些。只要坚持使用password_hash和password_verify，就能极大提升应用的安全性。安全不是一次性工作，定期审查加密策略，关注PHP版本更新带来的安全改进，才能持续保护用户数据。
