Hash mật khẩu bằng password_hash trong PHP

$2y$10$KsvkVn9OaqS1Z5UwJ7X2xuzxN1vV6t9JG/nV6r3zdsZoJ0u6cR6i6

Chuỗi này bao gồm cả thông tin về thuật toán, độ mạnh (cost) và giá trị salt ngẫu nhiên. Điều này giúp mỗi lần hash cùng một mật khẩu vẫn ra kết quả khác nhau, tăng cường bảo mật.

Lưu mật khẩu đã hash vào database

Sau khi có mật khẩu hash, chúng ta cần lưu nó vào database thay vì mật khẩu gốc. Ở đây, PDO sẽ rất hữu ích để thực hiện truy vấn an toàn.

Ví dụ đoạn code lưu mật khẩu khi đăng ký:

<?php
$pdo = new PDO("mysql:host=localhost;dbname=mydb;charset=utf8", "root", "");

// Mật khẩu gốc từ form đăng ký
$password = $_POST['password'];

// Hash mật khẩu
$hashedPassword = password_hash($password, PASSWORD_DEFAULT);

// Lưu vào database
$stmt = $pdo->prepare("INSERT INTO users (username, password) VALUES (:username, :password)");
$stmt->execute([
    ':username' => $_POST['username'],
    ':password' => $hashedPassword
]);
?>

Trong đoạn code trên:

• password_hash() tạo ra mật khẩu hash.

• PDO được dùng để tránh SQL Injection.

• Bảng users sẽ lưu giá trị hash chứ không phải mật khẩu gốc.

Xác minh mật khẩu bằng password_verify()

Khi người dùng đăng nhập, ta không thể so sánh trực tiếp mật khẩu nhập vào với giá trị hash trong database, vì mỗi lần hash sẽ ra một chuỗi khác nhau. Thay vào đó, PHP cung cấp hàm password_verify() để xác minh.

Ví dụ:

<?php
// Mật khẩu người dùng nhập khi đăng nhập
$passwordInput = $_POST['password'];

// Lấy mật khẩu hash từ database
$stmt = $pdo->prepare("SELECT password FROM users WHERE username = :username");
$stmt->execute([':username' => $_POST['username']]);
$row = $stmt->fetch(PDO::FETCH_ASSOC);

if ($row && password_verify($passwordInput, $row['password'])) {
    echo "Đăng nhập thành công";
} else {
    echo "Sai tên đăng nhập hoặc mật khẩu";
}
?>

Ở đây, password_verify() sẽ tự động hash mật khẩu nhập vào bằng cùng thuật toán và salt đã dùng khi lưu trữ, sau đó so sánh với chuỗi hash trong database. Nếu trùng khớp, xác minh thành công.

Kết hợp với Session để quản lý đăng nhập

Sau khi xác minh thành công bằng password_verify(), bước tiếp theo là sử dụng Session để quản lý trạng thái đăng nhập. Đây là kỹ thuật đã đề cập chi tiết trong bài Giữ đăng nhập bằng Session trong PHP.

Ví dụ:

<?php
session_start();

if ($row && password_verify($passwordInput, $row['password'])) {
    $_SESSION['username'] = $_POST['username'];
    header("Location: dashboard.php");
    exit;
}
?>

Cách làm này giúp bạn dễ dàng kiểm tra quyền truy cập của người dùng ở các trang khác.

So sánh password_hash với md5 và sha1

Trước đây, nhiều lập trình viên hay dùng md5() hoặc sha1() để mã hóa mật khẩu. Tuy nhiên, cả hai thuật toán này đã lỗi thời vì dễ bị tấn công brute force và rainbow table.

Ví dụ:

md5("123456"); // e10adc3949ba59abbe56e057f20f883e
sha1("123456"); // 7c4a8d09ca3762af61e59520943dc26494f8941b

<?php
if (password_needs_rehash($row['password'], PASSWORD_DEFAULT, ['cost' => 12])) {
    $newHash = password_hash($passwordInput, PASSWORD_DEFAULT, ['cost' => 12]);
    // Cập nhật lại mật khẩu hash trong DB
}
?>