如何使用crypt() 實現安全的用戶認證流程

M66 2025-05-22

在現代web 開發中，用戶認證的安全性至關重要。密碼保護如果不到位，極易導致用戶信息洩露，帶來不可估量的損失。 PHP 內置的crypt()函數為密碼加密提供了強有力的支持，結合合理的流程設計，可以大幅提升認證安全性。本文將詳細介紹如何使用crypt()實現一個安全、可靠的用戶認證流程。

1. 了解crypt() 函數

crypt()函數基於Unix 的加密算法，用於對字符串（通常是密碼）進行單向加密。其核心優勢是支持多種加密算法，包括Blowfish、SHA-256、SHA-512 等，且自帶鹽值（salt）機制，極大增強密碼的安全性。

函數原型如下：

 string crypt(string $password, string $salt);

$password是待加密的密碼明文。
$ salt是加密所用的鹽，可以決定加密算法及復雜度。

2. 設計安全的用戶註冊流程

在用戶註冊時，我們需要對明文密碼進行加密後存入數據庫。示例如下：

 <?php
// 用戶提交的明文密碼
$password = $_POST['password'];

// 生成一個安全的鹽（以 Blowfish 為例）
$salt = '$2y$12$' . substr(str_replace('+', '.', base64_encode(random_bytes(16))), 0, 22);

// 使用 crypt() 加密密碼
$hashedPassword = crypt($password, $salt);

// 將 $hashedPassword 存入數據庫
// 示例：mysqli 或 PDO 代碼略

echo "加密後的密碼：$hashedPassword";
?>

這裡用到了Blowfish 算法， $2y$表示Blowfish， 12是計算成本，數字越大越安全但計算越慢。
random_bytes(16)生成強隨機數，保證鹽的隨機性。

3. 實現安全的登錄驗證流程

用戶登錄時，需要驗證輸入密碼與數據庫中保存的密碼是否匹配。注意， crypt()的鹽包含在加密結果中，因此可以復用：

 <?php
// 用戶輸入的密碼
$password = $_POST['password'];

// 從數據庫中查詢到的哈希密碼
$storedHash = /* 查詢語句獲取的密碼哈希 */;

// 使用相同鹽值重新加密輸入密碼
$checkHash = crypt($password, $storedHash);

if (hash_equals($storedHash, $checkHash)) {
    // 驗證通過
    echo "登錄成功";
} else {
    // 驗證失敗
    echo "用戶名或密碼錯誤";
}
?>

使用hash_equals()進行時間安全比較，避免時間攻擊。
只要輸入密碼與數據庫中密碼哈希對應的鹽相同， crypt()重新加密後的結果應完全匹配。

4. 綜合示例— 用戶註冊與登錄流程

<?php
// 連接數據庫示例（使用 mysqli）
$mysqli = new mysqli("m66.net", "user", "password", "database");

// 用戶註冊
function registerUser($username, $password) {
    global $mysqli;

    $salt = '$2y$12$' . substr(str_replace('+', '.', base64_encode(random_bytes(16))), 0, 22);
    $hashedPassword = crypt($password, $salt);

    $stmt = $mysqli->prepare("INSERT INTO users (username, password) VALUES (?, ?)");
    $stmt->bind_param("ss", $username, $hashedPassword);
    return $stmt->execute();
}

// 用戶登錄驗證
function loginUser($username, $password) {
    global $mysqli;

    $stmt = $mysqli->prepare("SELECT password FROM users WHERE username = ?");
    $stmt->bind_param("s", $username);
    $stmt->execute();
    $stmt->bind_result($storedHash);
    if (!$stmt->fetch()) {
        return false; // 用戶不存在
    }
    $stmt->close();

    $checkHash = crypt($password, $storedHash);
    return hash_equals($storedHash, $checkHash);
}

// 示例調用
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = $_POST['username'] ?? '';
    $password = $_POST['password'] ?? '';

    if (isset($_POST['register'])) {
        if (registerUser($username, $password)) {
            echo "註冊成功";
        } else {
            echo "註冊失敗";
        }
    } elseif (isset($_POST['login'])) {
        if (loginUser($username, $password)) {
            echo "登錄成功";
        } else {
            echo "用戶名或密碼錯誤";
        }
    }
}
?>

5. 額外安全建議

使用HTTPS ：確保數據傳輸過程加密，防止中間人攻擊。
限制登錄嘗試次數：防止暴力破解。
定期更新加密成本：隨著硬件性能提升，適時提高Blowfish 的成本參數。
密碼強度檢測：註冊時提示用戶設置強密碼。
避免明文存儲敏感信息。