Хеширование паролей в PHP: password_hash и password_verify для безопасной авторизации
Поисковый запрос, под который написана эта статья: PHP password_hash password_verify. Если вы делаете регистрацию, личный кабинет или админку, первое правило безопасности простое: никогда не храните пароль пользователя как обычный текст. В PHP для этого есть встроенные функции password_hash() и password_verify().
Почему нельзя хранить пароль как есть
Допустим, пользователь ввёл пароль qwerty123, а вы записали его в базу данных без изменений. Если база утечёт, злоумышленник сразу получит доступ к аккаунтам. Плохо и другое решение — использовать md5 или sha1. Эти алгоритмы быстрые, устаревшие и легко перебираются по словарям.
Правильный подход — хранить не пароль, а его криптографический хеш, созданный специальным алгоритмом для паролей. В PHP это делается одной функцией:
<?php
$password = 'secret123';
$hash = password_hash($password, PASSWORD_DEFAULT);
echo $hash;
На выходе вы получите длинную строку. Именно её и нужно сохранять в базе данных вместо исходного пароля.
Что делает password_hash()
Функция password_hash() создаёт безопасный хеш пароля. Важный момент: она автоматически добавляет соль. Поэтому два одинаковых пароля почти всегда дадут разные хеши:
<?php
$password = 'secret123';
echo password_hash($password, PASSWORD_DEFAULT) . PHP_EOL;
echo password_hash($password, PASSWORD_DEFAULT) . PHP_EOL;
Новичков это иногда пугает: «Как тогда сравнивать пароль?» Сравнивать хеши вручную не нужно. Для этого есть password_verify().
Как проверить пароль через password_verify()
При входе пользователь вводит пароль. Вы берёте хеш из базы данных и передаёте оба значения в password_verify():
<?php
$passwordFromForm = 'secret123';
$hashFromDatabase = '$2y$10$exampleExampleExampleExampleExampleExampleExample';
if (password_verify($passwordFromForm, $hashFromDatabase)) {
echo 'Пароль верный';
} else {
echo 'Неверный пароль';
}
В реальном проекте хеш будет получен из базы данных по email, логину или ID пользователя.
Пример регистрации пользователя
Ниже упрощённый пример обработки формы регистрации. Главное — перед сохранением пароля вызвать password_hash():
<?php
$email = trim($_POST['email'] ?? '');
$password = $_POST['password'] ?? '';
if ($email === '' || $password === '') {
exit('Заполните email и пароль');
}
if (strlen($password) < 8) {
exit('Пароль должен быть не короче 8 символов');
}
$passwordHash = password_hash($password, PASSWORD_DEFAULT);
// Далее $passwordHash сохраняется в базу данных,
// например в поле password_hash.
echo 'Пользователь зарегистрирован';
Поле в базе данных лучше назвать не password, а password_hash. Так понятнее, что там хранится не исходный пароль.
Пример входа пользователя
При авторизации алгоритм такой: найти пользователя по email, получить его хеш пароля, проверить введённый пароль через password_verify().
<?php
$email = trim($_POST['email'] ?? '');
$password = $_POST['password'] ?? '';
// Допустим, эти данные пришли из базы данных.
$user = [
'id' => 15,
'email' => 'user@example.com',
'password_hash' => password_hash('secret123', PASSWORD_DEFAULT),
];
if (!$user) {
exit('Пользователь не найден');
}
if (!password_verify($password, $user['password_hash'])) {
exit('Неверный email или пароль');
}
session_start();
$_SESSION['user_id'] = $user['id'];
echo 'Вы вошли';
Обратите внимание на сообщение об ошибке. В реальном проекте часто лучше писать одинаково: Неверный email или пароль. Так вы не подсказываете злоумышленнику, существует ли такой email.
PASSWORD_DEFAULT или PASSWORD_BCRYPT?
В большинстве случаев используйте PASSWORD_DEFAULT:
<?php
$hash = password_hash($password, PASSWORD_DEFAULT);
Это рекомендуемый вариант для обычных проектов. PHP сам выберет актуальный алгоритм по умолчанию. Сейчас часто используется bcrypt, но в будущем значение может измениться. Поэтому важно выделять в базе достаточно места под хеш: обычно используют VARCHAR(255).
Если вам нужно явно использовать bcrypt, можно написать так:
<?php
$hash = password_hash($password, PASSWORD_BCRYPT);
Настройка cost: когда это нужно
Для bcrypt можно задать параметр cost. Чем он выше, тем медленнее создаётся хеш. Это усложняет перебор паролей, но увеличивает нагрузку на сервер.
<?php
$hash = password_hash($password, PASSWORD_BCRYPT, [
'cost' => 12,
]);
Не ставьте слишком большое значение «на всякий случай». Проверьте скорость на вашем сервере. Хороший ориентир: хеширование одного пароля должно занимать заметное, но приемлемое время, например десятки или сотни миллисекунд, а не несколько секунд.
Как обновлять старые хеши
PHP умеет проверять, не устарел ли хеш. Для этого есть password_needs_rehash(). Это полезно, если вы изменили алгоритм или параметры cost.
<?php
if (password_verify($password, $user['password_hash'])) {
if (password_needs_rehash($user['password_hash'], PASSWORD_DEFAULT)) {
$newHash = password_hash($password, PASSWORD_DEFAULT);
// Обновите password_hash пользователя в базе данных.
}
echo 'Успешный вход';
}
Так можно постепенно обновлять безопасность без принудительного сброса паролей всем пользователям.
Типичные ошибки новичков
Минимальная структура таблицы
Для старта таблица пользователей может выглядеть так:
CREATE TABLE users (
id INT UNSIGNED AUTO_INCREMENT PRIMARY KEY,
email VARCHAR(190) NOT NULL UNIQUE,
password_hash VARCHAR(255) NOT NULL,
created_at DATETIME NOT NULL
);
В реальном проекте добавляют поля статуса, роли, даты обновления, токены подтверждения email и другие данные.
Практические рекомендации
Если вы хотите не просто выучить отдельные функции, а собрать полноценную регистрацию, авторизацию, работу с MySQL и защиту проекта на практике, посмотрите курс PHP и MySQL с нуля до уверенной разработки — он хорошо дополняет эту тему.
Итог
password_hash() и password_verify() — базовый минимум для безопасной работы с паролями в PHP. При регистрации создавайте хеш и сохраняйте его в базу. При входе проверяйте пароль через password_verify(). Не используйте md5, не храните пароли открытым текстом и заранее выделяйте достаточно места под хеш в таблице пользователей.
