我正在使用 PHP 中的 crypt() 函数来哈希密码，并尝试找出在执行密码检查时测试等式的最安全方法。
我看到有三个选项：
选项1 - 双等号比较
function checkPassword($hash, $password)
{
return crypt($password, $hash) == $hash;
}
选项2 - 三个等号
function checkPassword($hash, $password)
{
return crypt($password, $hash) === $hash;
}
选项3 - strcmp()
function checkPassword($hash, $password)
{
return strcmp(crypt($password, $hash), $hash) === 0;
}
我的直觉告诉我选项1不好，因为它缺乏类型检查，而选项2或3可能更好。但是，我无法确定是否存在一种特定情况下 === 或 strcmp 会失败。哪个选项对于这个目的最安全？
在安全性方面，我更喜欢使用===运算符。===确保两个操作数完全相同，而不尝试适应某些强制转换以“帮助”比较成功匹配-尽管在开发过程中可能有所帮助，但这对于像PHP这样的弱类型语言来说是不必要的。
当然，其中一个操作数是可信的。来自数据库的哈希值是可信的，而用户输入则不可信。
在特定情况下使用==可能没有风险，我们可以犹豫一会儿得出结论。但例如
"0afd9f7b678fdefca" == 0 is true
"aafd9f7b678fdefca" == 0 is also true
由于PHP尝试将“哈希”转换为数字（可能使用atoi），这会导致0。虽然crypt返回0的可能性很小，但我更喜欢通过使用===来最大化密码不匹配的情况（并回答支持电话），而不是使用==允许我没有考虑过的罕见情况。
至于strcmp函数，如果不同则返回<0或>0，如果相等则返回0。
strcmp("3", 0003) returns 0
strcmp("0003", 0003) returns -3
0003实际上是一个整数3，由于strcmp期望一个字符串，因此3将被转换为"3"。但这表明在这种情况下可能会发生一些转换，因为strcmp是一个函数，而===是语言的一部分。===（它比==更快）。您应该使用PHP内置的hash_equals()函数。没有必要自己编写函数。hash_equals()将返回一个布尔值。
我认为通常不建议使用==或===比较字符串，更不用说哈希后的字符串了。
password_hash生成的值的正确答案，但在提问时，hash_equals在主流PHP中并不存在，并且它不适用于平面哈希（本来就不应该使用，但有时对于遗留系统是必需的）。 - Polynomial那是不正确的，请查看函数的定义。根据PHP：
如果str1小于str2，则返回<0;
如果str1大于str2，则返回>0，
如果它们相等，则返回0
如果str1小于str2，则它返回小于0。请注意短语“小于”，它不仅返回-1，而是任何负值。当str1大于str2时，发生同样的情况，但它返回一个正的非零值。它返回一个可以是1或之后任何数字的正值。
strcmp()返回的是两个字符串从最后一个被发现相似的字符开始的差异。
这里有一个例子：
$output = strcmp("red", "blue");
变量$output将包含一个值为16的值
我认为在你的情况下使用==就足够了。
==不考虑类型，检查相等性，而===检查相等性和类型。
1 == "1" = True
1 === "1" = False
由于我们不太关心类型，所以我建议保持简单，选择==。
==和===之间的区别，但我正在努力弄清楚是否有我忽略的特定安全敏感情况。例如，是否有不使用strcmp的原因？ - Polynomial
$2a$10$...$这样的字符串当作数字时会发生什么... - Polynomial===即可。如果你真的关心安全性和潜在的时间攻击（即使在网络抖动的情况下），你应该查看此讨论或使用hash_equals()函数（PHP 5.6+）。另外，你也可以参考这个链接：https://github.com/delight-im/Faceless/pull/5。 - caw