laravel 默认用 bcrypt 而不是 md5 或 sha256，因其是慢哈希、带随机盐、可调 cost 因子（默认12，耗时约100ms），能有效抵御暴力破解；验证必须用 hash::check()，它底层调用 password_verify() 自动提取盐和 cost 并比对。
为什么 Laravel 默认用 bcrypt 而不是 md5 或 sha256？
因为 md5 和 sha256 是快速哈希，攻击者能用 GPU 每秒跑上亿次碰撞；而 bcrypt 是故意设计成慢的、带盐的、且可调成本因子（cost）的哈希算法。Laravel 的 Hash::make() 底层调用 PHP 的 password_hash($password, PASSWORD_BCRYPT)，默认 cost=12，意味着单次哈希耗时约 100ms，极大拖慢暴力破解速度。
-
bcrypt每次生成的哈希字符串都不同（即使密码相同），因为内部自动生成随机盐并混入结果 - 哈希结果形如
$2y$12$XzKqJZv7Q9nRtS8pWmLcOeFgHiJkLmNoPqRsTuVwXyZaBcDeFgHiJ，前缀$2y$表示 bcrypt 版本，12是 cost 值 - 不要自己拼接盐或用
hash('sha256', $password . $salt)—— 这不等价于 bcrypt，也绕过了 PHP 密码哈希 API 的安全加固
Laravel 中验证密码是否匹配用的是哪个函数？
必须用 Hash::check()，而不是手动比对哈希值。因为 bcrypt 哈希本身不可逆，且每次生成结果不同，只能靠 PHP 内置的 password_verify() 来比对明文和哈希。
if (Hash::check($request->password, $user->password)) {
// 登录成功
}
-
$user->password是数据库里存的完整 bcrypt 字符串（含 salt 和 cost） -
Hash::check()底层调用password_verify()，它会自动提取盐和 cost 参数，再用相同参数重新哈希明文并比对 - 切勿写
$request->password === $user->password或用==，这永远为 false
如何调整 bcrypt 的 cost 值以平衡安全与性能？
cost 值每 +1，计算耗时约翻倍。Laravel 8+ 允许在 config/hashing.php 中配置：
'bcrypt' => [
'rounds' => 12,
],
-
开发环境可设为
10（更快），生产环境建议保持12或谨慎升到13 - 升到
14后单次哈希可能超 400ms，在高并发登录接口中易引发延迟堆积 - 已有用户密码不会自动重哈希 —— 只有下次调用
Hash::make()（比如改密码）才会用新 cost
能不能把 bcrypt 哈希值直接存进数据库字段？字段长度要设多长？
可以，但字段类型必须是 varchar(255)。因为完整 bcrypt 哈希固定长度为 60 字符，但未来若切换算法（如 argon2id），长度会变长；Laravel 官方迁移模板也统一用 string('password')，背后就是 varchar(255)。
- 别用
char(60)—— 看似精确，但失去扩展性，且部分数据库对char末尾空格处理不一致 - 别用
text—— 无必要，且某些 ORM 或索引策略对text有限制 - 如果用了
Auth::attempt()，框架已自动调用Hash::check()，你只需确保字段存的是原始哈希字符串，别额外 base64 或 hex 编码
Hash::make() 更新数据库 —— 这步要自己补。 
