PHP 項目中是選擇使用crypt() 還是password_hash() 進行密碼加密更好？這兩者有何區別？

在PHP 項目中，密碼加密是確保用戶數據安全的重要環節。常見的兩種密碼加密方式是crypt()函數和password_hash()函數。那麼，究竟應該選擇哪一個？它們之間有什麼區別？本文將詳細分析這兩者的特點，幫助你做出更合適的選擇。

1. crypt() 簡介

crypt()是PHP 中一個比較底層的密碼加密函數，它基於系統的加密算法實現。該函數的使用比較靈活，支持多種加密算法（如DES、MD5、Blowfish、SHA-256、SHA-512 等），但使用起來相對複雜，需要開發者手動指定加密算法和鹽值（salt）。

 $password = 'mysecretpassword';
$salt = '$2y$10$' . substr(strtr(base64_encode(random_bytes(16)), '+', '.'), 0, 22);
$hashed = crypt($password, $salt);
echo $hashed;

這裡， $2y$代表Blowfish 算法， 10是成本參數（cost），鹽值需要手動生成。

優點：

• 支持多種加密算法。

• 靈活性較高，適合有特定需求的項目。

缺點：

• 需要開發者自己處理鹽值，容易出錯。

• 代碼複雜，容易導致安全漏洞。

• 不具備自動升級算法的能力。

2. password_hash() 簡介

password_hash()是PHP 5.5+ 引入的密碼哈希函數，專門用於密碼加密。它內置了安全的算法和自動生成鹽值，使用簡單且安全。

 $password = 'mysecretpassword';
$hashed = password_hash($password, PASSWORD_DEFAULT);
echo $hashed;

PASSWORD_DEFAULT會自動使用當前最安全的算法（通常是bcrypt），且會自動生成鹽值，免去開發者繁瑣的操作。

優點：

• 自動生成安全鹽值。

• 簡潔易用，代碼清晰。

• 支持密碼驗證函數password_verify() 。

• 支持哈希算法升級，方便後續安全維護。

缺點：

• 靈活性稍弱，不支持自定義鹽值。

• 依賴PHP 版本，低版本需手動引入兼容庫。

3. 兩者的核心區別

4. 實際推薦

在現代PHP 項目中，推薦使用password_hash()進行密碼加密。它不僅降低了開發難度，還能保證更高的安全性和可維護性。 crypt()雖然功能強大，但使用複雜且容易出現配置錯誤，只有在特定場景下（如需要兼容非常老的系統）才建議使用。

示例：密碼驗證

使用password_hash()創建哈希後，驗證密碼非常方便：

 $hashed = password_hash('mysecretpassword', PASSWORD_DEFAULT);

if (password_verify('mysecretpassword', $hashed)) {
    echo '密碼驗證成功';
} else {
    echo '密碼錯誤';
}

5. 總結

• 選擇password_hash() ：簡單、安全、現代的密碼加密方法，適合絕大多數應用場景。

• 選擇crypt() ：當有特殊需求或對加密算法有自定義要求時可考慮，但使用門檻較高且風險較大。

為了保障用戶信息安全，強烈建議PHP 開發者優先考慮password_hash() ，並結合password_verify()進行密碼驗證，確保代碼既簡潔又安全。