如何使用 substr() 提取并验证 PHP 的 crypt() 函数中的 Salt 部分？

M66 2025-07-20

在 PHP 中，crypt() 函数是一种常用的密码哈希工具，它利用指定的“盐”（Salt）来增强密码的安全性。盐的作用是增加哈希的随机性，防止彩虹表攻击。理解如何从 crypt() 函数生成的哈希中提取并验证盐，是掌握密码处理安全的重要环节。

本文将介绍如何使用 PHP 的 substr() 函数从 crypt() 的返回值中提取盐部分，并对其进行简单的验证。

什么是 Salt？

Salt 是在加密时与原始密码结合的一段随机字符串。它确保即使两个用户的密码相同，生成的哈希值也不同。

在 crypt() 函数中，Salt 的格式和长度根据加密算法的不同而不同，例如：

DES：2 个字符盐
MD5：以 $1$ 开头，后面跟着最多 8 个字符的盐
Blowfish：以 $2a$ 或 $2y$ 开头，后跟两位成本因子和 22 个字符盐

如何用 substr() 提取 Salt

假设你使用的是 MD5 算法，它的 Salt 格式如下：

$1$ + 8字符盐

例如，一个典型的 MD5 哈希值：

$hash = crypt('password', '$1$abcdefgh$');

返回的哈希可能是：

$1$abcdefgh$ZxR0LnxZPbQ5Cj7JlYiGp0

盐就是前 12 个字符：$1$abcdefgh$

用 substr() 提取盐示例代码

<?php
$hash = crypt('password', '$1$abcdefgh$');

// 提取盐的长度为12个字符
$salt = substr($hash, 0, 12);

echo "提取的盐是: " . $salt;
?>

验证 Salt 是否符合预期格式

我们可以通过正则表达式来验证提取的盐是否符合预期。例如，MD5 盐的正则表达式：

/^(\$1\$[\.\/0-9a-zA-Z]{1,8}\$)$/

示例代码：

<?php
$salt = substr($hash, 0, 12);

if (preg_match('/^\$1\$[\.\/0-9a-zA-Z]{1,8}\$/', $salt)) {
    echo "盐格式正确";
} else {
    echo "盐格式不正确";
}
?>

综合示例

下面是一个完整的示例，包含生成哈希、提取盐和验证盐：

<?php
$password = 'mypassword';

// 使用 MD5 算法生成盐（$1$ + 8个随机字符 + $）
$salt = '$1$' . substr(strtr(base64_encode(random_bytes(6)), '+', '.'), 0, 8) . '$';

// 生成哈希
$hash = crypt($password, $salt);

echo "生成的哈希: $hash\n";

// 从哈希中提取盐
$extracted_salt = substr($hash, 0, 12);

echo "提取的盐: $extracted_salt\n";

// 验证盐格式
if (preg_match('/^\$1\$[\.\/0-9a-zA-Z]{1,8}\$/', $extracted_salt)) {
    echo "盐格式验证通过\n";
} else {
    echo "盐格式验证失败\n";
}
?>

总结

crypt() 函数的盐格式与加密算法有关，长度和结构不同。
使用 substr() 可以方便地从哈希中提取盐部分。
用正则表达式对盐格式进行验证，可以保证盐符合加密算法要求，提升安全性。

crypt