[PHP 最佳实践]如何处理用户的密码
这篇讲的是 PHP 开发中处理用户密码的安全演进路径。文章从近年来频发的“拖库”事件切入，点明密码作为最隐私的数据，绝不能抱有侥幸心理。它直接指出了许多初级开发者的误区——仅满足于使用 MD5 等简单散列算法，并生动解释了这些算法为何“不及格”：它们本质上是单向散列而非加密，且容易被黑客利用预计算的彩虹表或字典暴力破解。 文章的核心在于层层递进地揭示更安全的做法。它强调了加“盐”（随机字符串）的必要性，即为每个用户的密码在散列前拼接独特随机值，大幅增加字典攻击的难度。但即便如此，面对当今高性能计算机每秒数十亿次的计算能力，传统的 MD5/SHA 系列算法仍显脆弱。 因此，作者引出了专门为密码存储设计的 bcrypt 算法，其计算成本极高，暴力破解速度被限制在每秒几千次，安全性呈指数级提升。文章不仅讲清楚了原理，还提供了直接可用的 PHP 内置函数（如 `password_hash` 和 `password_verify`）示例，并进一步推荐了 Yii 2 框架中更完善的安全组件封装。最终目的是帮助开发者建立从原理到实践的正确密码处理观念，而不仅仅是停留在“知道不能存明文”的层面。