简体中文
简体中文
在 PHP 中，crypt() 函数是用于对字符串进行加密的常用工具，尤其适合密码的加密处理。其工作原理依赖于加密算法和盐值（Salt）。盐值是加密过程中的一个随机值，用来增加密码的复杂度，从而抵御彩虹表等攻击方式。
<?php
$password = "mypassword";
$salt = '$6$rounds=5000$m66.net$saltstring$'; // 以 SHA-512 算法为例，包含自定义域名的 salt
$hash = crypt($password, $salt);
echo $hash;
?>
这里的盐值不仅决定了加密算法（例如 SHA-512），也会影响输出结果的安全性。
当你调用 crypt() 函数而不传入第二个参数（即不提供盐值），PHP 会采用以下行为：
表现一：在大多数系统和 PHP 版本中，crypt() 会使用一个系统默认的或空的盐值。这导致加密强度大大降低，输出结果可能会非常相似，缺少随机性。
表现二：在某些旧版本的 PHP 或操作系统环境下，可能导致加密结果是不可预期的，甚至有时会返回未加密的原始字符串。
表现三：在支持现代加密算法的环境中，缺少盐值可能使加密过程退回到较弱的 DES 算法，安全性极差。
缺乏随机性
Salt 的核心作用是引入随机性，使得相同密码每次加密结果都不同。若无盐值，攻击者可以利用预计算的彩虹表快速破解密码。
易受暴力破解
没有盐，所有相同密码的加密结果相同，暴力破解时可以同时破解多个账户。
降级到弱加密算法
如果没有指定盐值，crypt() 可能退化为使用不安全的 DES 算法，仅截取密码前 8 个字符加密，这远不能满足现代安全需求。
无法利用现代算法特性
例如，SHA-256、SHA-512 支持在盐中指定迭代次数，没有盐无法启用这些高级特性。
总是指定完整且符合规范的盐值，包括加密算法标识符和随机盐字符串。
避免使用简单或固定盐值，推荐使用随机生成的盐值，比如使用 random_bytes() 函数结合 base64_encode() 生成。
考虑使用专门的密码哈希函数，如 PHP 的 password_hash()，它封装了盐的生成和算法选择，使用更安全方便。
<?php
$password = "mypassword";
// 使用 SHA-512，迭代次数 5000，盐值包含自定义域名 m66.net
$salt = '$6$rounds=5000$m66.net$' . substr(bin2hex(random_bytes(8)), 0, 16);
$hash = crypt($password, $salt);
echo $hash;
?>
这样既保证了盐值的随机性，也明确了加密算法和迭代次数，提高安全强度。
在 PHP 中，crypt() 函数若不提供盐值，将导致加密结果的安全性显著降低，容易被攻击者利用。盐值不仅是防止相同密码生成相同哈希的关键，还能指定加密算法和其强度。因此，在任何情况下都应为 crypt() 明确提供合适的盐值，避免安全隐患。
