解析 WordPress `wp_hash_password()` 和 `wp_check_password()` 函数源码：密码哈希的升级与兼容性。

各位观众老爷，大家好！今天咱们来聊聊WordPress的密码安全，重点剖析一下 wp_hash_password() 和 wp_check_password() 这两个“守门神”。 别看它们名字简单，里面可是藏着不少玄机，尤其是关于密码哈希的升级和兼容性问题，一不小心就可能让你的用户进不了家门。

咱们先来热热身，了解一下密码存储的基本概念。

密码存储的那些事儿

话说，咱们都知道直接把用户的密码明文存在数据库里是绝对要不得的。为什么？因为一旦数据库被攻破，所有用户的密码就全都暴露了，那场面简直比双十一还要惨烈。

所以，我们需要对密码进行哈希处理。哈希函数就好比一个单行道的榨汁机，你放进去任何东西，它都会吐出一个固定长度的“汁液”，而且这个过程是不可逆的，也就是说，你没办法从“汁液”反推出原来的“水果”是什么。

但是，光有哈希还不够，还需要加点“盐”。 “盐”就是一个随机字符串，把它和密码组合在一起再进行哈希，这样即使两个用户使用了相同的密码，他们的哈希值也会不一样。 这就好比给榨汁机加了个随机调味剂，让榨出来的“汁液”味道千奇百怪，黑客想要通过“彩虹表”（预先计算好的哈希值表）破解密码就难上加难了。

wp_hash_password()：密码哈希的制造者

好了，废话不多说，直接上代码，咱们来看看 wp_hash_password() 这个函数是怎么工作的：

function wp_hash_password( $password ) {
    /**
     * Filters the hashing algorithm used to hash a password.
     *
     * @since 2.5.0
     *
     * @param string $algo The hashing algorithm to use. Default 'wp_hash_password'.
     */
    $algo = apply_filters( 'wp_hash_password', '$P$B' );

    return _hash_password_helper( $password, $algo );
}

/**
 * Private helper function to hash passwords.
 *
 * @since 2.5.0
 * @access private
 *
 * @param string $password Plaintext user password to hash.
 * @param string $algo     The hashing algorithm to use.
 * @return string The encrypted password
 */
function _hash_password_helper( $password, $algo ) {
    global $wp_hasher;

    if ( empty( $wp_hasher ) ) {
        require_once ABSPATH . WPINC . '/class-phpass.php';
        $wp_hasher = new PasswordHash( 8, true );
    }

    return $wp_hasher->HashPassword( $password );
}

看起来有点长，但其实逻辑很简单：

1. apply_filters( 'wp_hash_password', '$P$B' ): 这个东东允许开发者通过过滤器来改变密码哈希的算法。 默认情况下，它使用的是 $P$B 这个“魔术字符串”，代表一种古老的基于MD5的哈希算法，这种算法现在已经不太安全了。 但是，WordPress为了兼容老版本，依然保留了它。
2. _hash_password_helper(): 这个函数才是真正干活的。 它首先会检查全局变量 $wp_hasher 是否存在，如果不存在，就加载 class-phpass.php 文件，并创建一个 PasswordHash 类的实例。
3. $wp_hasher->HashPassword( $password ): 最后，调用 PasswordHash 类的 HashPassword() 方法，对密码进行哈希处理，并返回哈希后的密码。

这里的 PasswordHash 类是 WordPress 使用的密码哈希库，它支持多种哈希算法，包括：

• 基于MD5的哈希算法（$P$B）: 这是最古老的算法，安全性最低，已经不推荐使用。
• bcrypt算法: 这是目前最安全的哈希算法之一，WordPress 3.5之后开始支持。

wp_check_password()：密码验证的卫士

接下来，咱们再来看看 wp_check_password() 函数，它是用来验证用户输入的密码是否正确的：

function wp_check_password( $password, $hash, $user_id = '' ) {
    global $wp_hasher;

    if ( empty( $wp_hasher ) ) {
        require_once ABSPATH . WPINC . '/class-phpass.php';
        $wp_hasher = new PasswordHash( 8, true );
    }

    $check = $wp_hasher->CheckPassword( $password, $hash );

    /**
     * Fires after a password has been checked for validity.
     *
     * @since 2.5.0
     *
     * @param bool   $check   Whether the password is valid.
     * @param string $password The password in plain text.
     * @param string $hash     The hash to check the password against.
     * @param int    $user_id  The user ID.
     */
    do_action( 'check_password', $check, $password, $hash, $user_id );

    return apply_filters( 'wp_check_password', $check, $password, $hash, $user_id );
}

这个函数的工作流程也很简单：

1. 加载 PasswordHash 类: 和 wp_hash_password() 函数一样，它首先会检查全局变量 $wp_hasher 是否存在，如果不存在，就加载 class-phpass.php 文件，并创建一个 PasswordHash 类的实例。
2. $wp_hasher->CheckPassword( $password, $hash ): 调用 PasswordHash 类的 CheckPassword() 方法，对用户输入的密码和数据库中存储的哈希值进行比较。
3. do_action( 'check_password', ... ) 和 apply_filters( 'wp_check_password', ... ): 这两个函数允许开发者在密码验证之后执行一些额外的操作，比如记录日志、发送邮件等等。

CheckPassword() 方法会根据哈希值的格式来判断使用哪种哈希算法进行验证。 这就意味着，即使你的数据库中存储了多种不同哈希算法的密码，wp_check_password() 函数也能正确地验证它们。

密码哈希的升级与兼容性

重点来了！ WordPress 如何处理密码哈希的升级和兼容性问题呢？

主要依靠以下几点：

1. PasswordHash 类的智能识别: PasswordHash 类能够自动识别哈希值的格式，并选择正确的哈希算法进行验证。
2. wp_hash_password() 函数的过滤器: 通过 wp_hash_password 过滤器，开发者可以自定义密码哈希算法。
3. 在登录时自动升级哈希: 如果用户使用旧的哈希算法登录成功，WordPress 会自动将他们的密码哈希升级到新的算法。

咱们来详细说说第三点。 PasswordHash 类的 CheckPassword() 方法在验证密码成功后，会检查哈希值是否需要升级。 如果需要升级，它会返回 true，并且设置一个名为 $this->needs_rehash 的属性为 true。

然后，在 wp-login.php 文件中，WordPress 会检查 $wp_hasher->needs_rehash 的值，如果为 true，就会调用 wp_set_password() 函数来重新哈希用户的密码。

// wp-login.php (简化后的代码)
$user = wp_signon( $credentials, $secure_cookie );

if ( ! is_wp_error( $user ) ) {
    if ( isset( $wp_hasher ) && $wp_hasher->needs_rehash ) {
        wp_set_password( $credentials['user_password'], $user->ID );
    }

    wp_safe_redirect( admin_url() );
    exit;
}

wp_set_password() 函数会调用 wp_hash_password() 函数来生成新的哈希值，并将新的哈希值存储到数据库中。 这样，下次用户登录时，就会使用新的哈希算法进行验证了。

代码示例：自定义密码哈希算法

如果你想自定义密码哈希算法，可以使用 wp_hash_password 过滤器。 例如，你可以使用 bcrypt 算法来哈希密码：

add_filter( 'wp_hash_password', 'my_custom_hash_algorithm' );

function my_custom_hash_algorithm( $algo ) {
    return '$2y$10$'; // bcrypt算法的标识符
}

上面的代码会将默认的密码哈希算法修改为 bcrypt 算法。 需要注意的是，bcrypt 算法的标识符是 $2y$10$，其中 10 代表 bcrypt 的 cost factor，它决定了哈希的计算复杂度。 cost factor 越高，哈希的计算时间越长，安全性也越高，但同时也会增加服务器的负担。

代码示例：检查密码是否需要升级

如果你想手动检查密码是否需要升级，可以使用 PasswordHash 类的 PasswordNeedsUpdate() 方法：

global $wp_hasher;

if ( empty( $wp_hasher ) ) {
    require_once ABSPATH . WPINC . '/class-phpass.php';
    $wp_hasher = new PasswordHash( 8, true );
}

$hash = get_user_meta( $user_id, 'user_pass', true ); // 获取用户的密码哈希值

if ( $wp_hasher->PasswordNeedsUpdate( $hash, 8 ) ) {
    // 密码需要升级
    $new_password = wp_generate_password( 12, false ); // 生成一个随机密码
    wp_set_password( $new_password, $user_id ); // 设置新的密码
    // ... 发送邮件通知用户修改密码 ...
}

上面的代码会检查用户的密码哈希值是否需要升级。 如果需要升级，它会生成一个随机密码，并将新的密码哈希值存储到数据库中。 然后，它会发送邮件通知用户修改密码。

总结

咱们来总结一下今天讲的内容：

• wp_hash_password() 函数用于生成密码哈希值。
• wp_check_password() 函数用于验证密码是否正确。
• WordPress 使用 PasswordHash 类来处理密码哈希的生成和验证。
• WordPress 支持多种哈希算法，包括基于MD5的哈希算法和bcrypt算法。
• WordPress 会在登录时自动升级密码哈希。
• 你可以使用 wp_hash_password 过滤器来自定义密码哈希算法。

常见问题

最后，咱们再来解答几个常见问题：

问题	答案
为什么 WordPress 还在使用 MD5 算法？	为了兼容老版本，WordPress 仍然保留了 MD5 算法。 但是，强烈建议你升级到更安全的算法，比如 bcrypt。
如何升级到 bcrypt 算法？	你可以使用 wp_hash_password 过滤器来强制使用 bcrypt 算法。 同时，WordPress 会在用户登录时自动升级密码哈希。
如何判断密码是否需要升级？	你可以使用 PasswordHash 类的 PasswordNeedsUpdate() 方法来判断密码是否需要升级。
修改 cost factor 会影响现有密码吗？	不会。 PasswordHash 类能够自动识别哈希值的 cost factor，并使用正确的 cost factor 进行验证。
如果用户忘记密码，怎么办？	WordPress 提供了忘记密码的功能。 用户可以通过邮箱重置密码。 在重置密码时，WordPress 会生成一个新的密码哈希值。
我的网站被黑了，密码也泄露了，怎么办？	立即修改所有用户的密码，并强制他们重置密码。 同时，检查你的网站是否存在漏洞，并及时修复。 此外，建议你开启双因素认证，以提高安全性。

好了，今天的讲座就到这里。 希望大家能够对 WordPress 的密码哈希机制有更深入的了解。 记住，密码安全无小事，一定要重视！ 感谢大家的收听，咱们下次再见！