[PHP知识库]JAVA校验PHP(Laravel)生成的hash散列值

Java 校验 PHP password_hash Laravel Hash:make

样板：$2y起始的60字符哈希值：$2y$10$y/n3daDQxONNf.5dU59kw.3FyXm9JBumT9HeiJru0gXcrRBGAecdS

PHP

Laravel Hash:make对等实现

Laravel本身随机盐，自PHP5.2.7以后也不建议手动盐而是让PHP本身断言系统来加盐

Hash:make($password);

等价于

PHP5.5.0 函数password_hash的PASSWORD_BCRYPT散列算法

OPTIONS：cost (integer) - 代表算法使用的 cost 可以根据自身硬件条件加大此值 默认值为10

password_hash($password, PASSWORD_BCRYPT, ['cost' => 10]);

等价于

PHP4 函数 crypt的CRYPT_BLOWFISH算法 返回一个基于标准 UNIX DES 算法或系统上其他可用的替代算法的散列字符串

与上述区别

password_hash()使用了一个强的哈希算法，来产生足够强的盐值，并且会自动进行合适的轮次。

password_hash()是crypt()的一个简单封装，并且完全与现有的密码哈希兼容。推荐使用password_hash()

crypt($password, $salt)

示例

// 加密
$password = "12345678";
$hash = Hash:make($password); //Laravel
$hash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 10]); //PHP

// 解密 OR 对比
$result = Hash::check($password, $hash); //Laravel

$salt = substr($hash, 0, 29); //PHP
$resultStr = crypt($password, $salt);
$result = $hash === $resultStr;

Blowfish算法

使用如下盐值：“$2a$”，一个两位 cost 参数，“$” 以及 64 位由 “./0-9A-Za-z” 中的字符组合而成的字符串。在盐值中使用此范围之外的字符将导致 crypt() 返回一个空字符串。两位 cost 参数是循环次数以 2 为底的对数，它的范围是 04-31，超出这个范围将导致 crypt() 失败。 PHP 5.3.7 之前只支持 “$2a$” 作为盐值的前缀，PHP 5.3.7 开始引入了新的前缀来修正一个在Blowfish实现上的安全风险。可以参考? this document来了解关于这个修复的更多信息。总而言之，开发者如果仅针对 PHP 5.3.7及之后版本进行开发，那应该使用 “$2y$” 而非 “$2a$”

哈希示例

$2a$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy
\__/\/ \____________________/\_____________________________/
 Alg Cost      Salt                        Hash

参考此文：密码学系列之:bcrypt加密算法详解

JAVA

找实现了blowfish算法的crypt包即可

借助crypto.bcrypt包来实现blowfish

1. 引POM

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
    <version>2.3.10.RELEASE</version>
</dependency>

2. 加密/校验

String password = "12345678";
// 加密
String salt = BCrypt.gensalt("$2y$", 10);
String hash = BCrypt.hashpw(password, salt);


// 校验
String hashVal = "$2y$10$rRRR2RyMp68/ZZrjniyofuWgIFd.Q1DBwtjwLxf/VVFHrpV9DC44K";
String salt = hashVal.substring(0, 29); // 手动截取校验
boolean result = hashVal.equals(BCrypt.hashpw(password, salt));

boolean result = hashVal.equals(BCrypt.checkpw(password, hashVal));// 自动识别校验