清理password_hash（）的密码

Question

我正在阅读使用password_hash()时的空字节问题。 这给了我两个问题：

• 从PHP7开始，空字节漏洞是否仍然存在？ 我尝试用password_hash（）复制它，但要么它已修复，要么我无法复制它。 当\\0之后的字符不同或不存在时， password_verify()返回false。
• 在处理密码时我还应该注意其他警告吗？ 我不想对它们进行消毒（用户需要确保已处理的密码字符串正是它们发送的内容），但我看到了这样的代码（再次，vs null-bytes）： str_replace(chr(0), '', $input) 。 处理密码时我应该使用它吗？ 我也应该用别的东西吗？

Answer 1

你可以测试一下

$hash = password_hash("\x00 abc", PASSWORD_DEFAULT);
var_dump(password_verify("\x00 foo", $hash)); // true ???

但是当从表格中提交密码时，您会收到字符串'\\ x00密码'，而不会像“\\ x00密码”那样插入（单引号和双引号）。

$hash = password_hash("\x00 abc", PASSWORD_DEFAULT);
var_dump(password_verify('\x00 foo', $hash)); // false!