雜湊

簡介
設定
基本用法
雜湊演算法驗證

簡介

Laravel 的 Hash facade 提供了安全的 Bcrypt 和 Argon2 雜湊功能，用於儲存使用者密碼。如果您使用 Laravel 應用程式入門套件之一，預設將使用 Bcrypt 進行註冊和認證。

Bcrypt 是雜湊密碼的絕佳選擇，因為其「工作因子」是可調整的，這意味著隨著硬體效能的提升，生成雜湊所需的時間可以增加。雜湊密碼時，慢是好的。演算法雜湊密碼所需的時間越長，惡意使用者生成用於暴力攻擊的「彩虹表」所需的時間就越長。

設定

預設情況下，Laravel 在雜湊資料時使用 bcrypt 雜湊驅動程式。但是，還支援其他幾種雜湊驅動程式，包括 argon 和 argon2id。

您可以使用 HASH_DRIVER 環境變數指定應用程式的雜湊驅動程式。但是，如果您想自訂所有 Laravel 雜湊驅動程式選項，應該使用 config:publish Artisan 命令發佈完整的 hashing 設定檔：

php artisan config:publish hashing

基本用法

雜湊密碼

您可以透過呼叫 Hash facade 上的 make 方法來雜湊密碼：

<?php

namespace App\Http\Controllers;

use Illuminate\Http\RedirectResponse;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Hash;

class PasswordController extends Controller
{
    /**
     * Update the password for the user.
     */
    public function update(Request $request): RedirectResponse
    {
        // Validate the new password length...

        $request->user()->fill([
            'password' => Hash::make($request->newPassword)
        ])->save();

        return redirect('/profile');
    }
}

調整 Bcrypt 工作因子

如果您使用发 bcrypt 演算法，make 方法允許您使用 rounds 選項管理演算法的工作因子；但是，Laravel 管理的預設工作因子對大多數應用程式來說是可接受的：

$hashed = Hash::make('password', [
    'rounds' => 12,
]);

調整 Argon2 工作因子

如果您使用 Argon2 演算法，make 方法允許您使用 memory、time 和 threads 選項管理演算法的工作因子；但是，Laravel 管理的預設值對大多數應用程式來說是可接受的：

$hashed = Hash::make('password', [
    'memory' => 1024,
    'time' => 2,
    'threads' => 2,
]);

[!NOTE] 要了解更多關於這些選項的資訊，請參閱關於 Argon 雜湊的官方 PHP 文件。

驗證密碼是否匹配雜湊值

Hash facade 提供的 check 方法允許您驗證給定的純文字字串是否對應於給定的雜湊值：

if (Hash::check('plain-text', $hashedPassword)) {
    // 密碼匹配...
}

判斷密碼是否需要重新雜湊

Hash facade 提供的 needsRehash 方法允許您判斷自密碼雜湊以來雜湊器使用的工作因子是否已變更。某些應用程式選擇在認證過程中執行此檢查：

if (Hash::needsRehash($hashed)) {
    $hashed = Hash::make('plain-text');
}

雜湊演算法驗證

為了防止雜湊演算法被篡改，Laravel 的 Hash::check 方法將先驗證給定的雜湊值是否使用應用程式選定的雜湊演算法生成。如果演算法不同，將拋出 RuntimeException 異常。

這是大多數應用程式的預期行為，其中雜湊演算法預期不會變更，不同的演算法可能是惡意攻擊的跡象。但是，如果您需要在應用程式中支援多種雜湊演算法（例如從一種演算法遷移到另一種），可以透過將 HASH_VERIFY 環境變數設為 false 來停用雜湊演算法驗證：

HASH_VERIFY=false