深入理解 `wp_check_password()` 函数的源码，它是如何验证用户密码并支持不同哈希算法的？ - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

大家好，我是今天的讲师，代号“代码挖掘机”。今天咱们要聊聊 WordPress 的密码验证核心，也就是 wp_check_password() 函数。这玩意儿可是个宝藏，里面藏着 WordPress 安全的秘密，以及各种哈希算法的爱恨情仇。准备好了吗？咱们开始挖掘！

开场白：密码的重要性，以及 WordPress 的选择

话说回来，密码这东西，在互联网世界那就是你的身份证、通行证、保险柜钥匙。如果密码泄露了，那可就相当于把家门钥匙拱手让人，后果不堪设想。所以，密码的安全性至关重要。

WordPress 作为全球最流行的 CMS (内容管理系统)，自然对密码安全非常重视。它使用 wp_check_password() 函数来验证用户输入的密码是否正确。这个函数可不是简简单单的字符串比较，它里面包含了一系列复杂的逻辑，包括：

多种哈希算法支持： WordPress 随着时间推移，使用过不同的哈希算法，wp_check_password() 需要能兼容这些算法。
密码更新机制： 如果用户的密码使用了较弱的哈希算法，wp_check_password() 还会触发密码更新。
安全性考虑： 防止彩虹表攻击、暴力破解等。

wp_check_password() 函数的概览

好了，废话不多说，先来看看 wp_check_password() 函数的原型：

/**
 * Checks a plain text password against a previously hashed password.
 *
 * @since 2.5.0
 *
 * @param string $password Plain text user's password.
 * @param string $hash Previously hashed password to check against.
 * @param int|string|WP_User|false $user_id Optional. User ID, user object, or user login.
 *                                          Defaults to false.
 * @return bool True, if the password matches.
 */
function wp_check_password( $password, $hash, $user_id = false ) {
    // 函数体
}

这个函数接收三个参数：

$password: 用户输入的明文密码。
$hash: 数据库中存储的密码哈希值。
$user_id: 可选参数，用户 ID。用于密码更新和插件扩展。

函数返回一个布尔值，true 表示密码匹配，false 表示密码不匹配。

源码剖析：一步一步揭开它的面纱

接下来，咱们深入到 wp_check_password() 函数的源码中，看看它到底是如何工作的。为了方便讲解，我对源码进行了简化和注释。

function wp_check_password( $password, $hash, $user_id = false ) {
    global $wp_hasher;

    // 1. 如果哈希值为空，直接返回 false
    if ( empty( $hash ) ) {
        return false;
    }

    // 2. 如果哈希值以 '$P$' 开头，表示使用旧的 MD5 哈希算法
    if ( strpos( $hash, '$P$' ) === 0 ) {
        // 使用旧的 MD5 哈希算法验证密码
        $check = ( substr( md5( $password . NONCE_SALT ), 0, 34 ) === substr( $hash, 3, 34 ) );

        // 如果密码匹配，并且定义了 `PASSWORD_SALT` 常量，则更新密码
        if ( $check && defined( 'PASSWORD_SALT' ) ) {
            wp_set_password( $password, $user_id );
        }

        return $check;
    }

    // 3. 如果哈希值以 '$H$' 开头，表示使用旧的 portable hashes
    if ( strpos( $hash, '$H$' ) === 0 ) {
        require_once ABSPATH . WPINC . '/class-phpass.php';
        $wp_hasher = new PasswordHash( 8, true );
        return $wp_hasher->CheckPassword( $password, $hash );
    }

    // 4. 如果哈希值不是 MD5 或 portable hashes，则使用标准的 password_verify() 函数验证
    if ( function_exists( 'password_verify' ) ) {
        $check = password_verify( $password, $hash );

        // 如果密码匹配，并且需要重新哈希（例如，使用了默认的 cost 值），则更新密码
        if ( $check && password_needs_rehash( $hash, PASSWORD_DEFAULT ) ) {
            wp_set_password( $password, $user_id );
        }

        return $check;
    }

    // 5. 如果 password_verify() 函数不存在，则加载 PasswordHash 类并使用它
    require_once ABSPATH . WPINC . '/class-phpass.php';
    if ( empty( $wp_hasher ) ) {
        $wp_hasher = new PasswordHash( 8, true );
    }

    return $wp_hasher->CheckPassword( $password, $hash );
}

源码解读：每一步都暗藏玄机

咱们来逐行解读这段代码，看看它都做了些什么：

空哈希值检查： 首先，函数会检查 $hash 是否为空。如果为空，说明数据库中没有存储密码，直接返回 false。这是一种防御性编程，防止出现意外错误。
旧的 MD5 哈希算法： 如果 $hash 以 '$P$' 开头，说明使用的是 WordPress 早期版本使用的 MD5 哈希算法。这种算法非常不安全，很容易被破解。
- 验证过程： 使用 md5( $password . NONCE_SALT ) 对用户输入的密码进行哈希，然后与 $hash 进行比较。NONCE_SALT 是一个常量，用于增加哈希的复杂度。
- 密码更新： 如果密码匹配，并且定义了 PASSWORD_SALT 常量，说明系统已经升级到了更安全的哈希算法。此时，会调用 wp_set_password() 函数来更新密码。
- 安全性警告： 这种哈希算法非常不安全，强烈建议升级到更安全的哈希算法。
旧的 portable hashes： 如果 $hash 以 '$H$' 开头，说明使用的是 portable hashes。这是一种比 MD5 更安全的哈希算法，但仍然不够强大。
- 验证过程： 加载 class-phpass.php 文件，创建 PasswordHash 对象，然后使用 CheckPassword() 方法验证密码。
- 安全性警告： 虽然比 MD5 安全，但仍然建议升级到更安全的哈希算法。
标准的 password_verify() 函数： 这是 WordPress 目前推荐使用的密码验证方式。它使用了 PHP 内置的 password_hash() 和 password_verify() 函数，支持多种哈希算法，例如 bcrypt。
- 验证过程： 使用 password_verify( $password, $hash ) 函数验证密码。
- 密码更新： 如果密码匹配，并且需要重新哈希（例如，使用了默认的 cost 值），则调用 wp_set_password() 函数来更新密码。password_needs_rehash() 函数用于判断是否需要重新哈希。
- 安全性： bcrypt 算法非常安全，可以有效防止彩虹表攻击和暴力破解。
password_verify() 函数不存在的情况： 如果 PHP 版本过低，不支持 password_verify() 函数，则会加载 class-phpass.php 文件，并使用 PasswordHash 类来验证密码。这是为了兼容旧版本的 PHP。

密码更新机制：保持安全，与时俱进

从上面的代码可以看出，wp_check_password() 函数还负责密码更新。如果用户的密码使用了较弱的哈希算法，函数会在验证成功后，自动调用 wp_set_password() 函数来更新密码。

这样做的好处是：

提高安全性： 将用户的密码升级到更安全的哈希算法，可以有效防止密码被破解。
兼容性： 可以兼容旧版本的 WordPress，平滑过渡到新的哈希算法。
用户体验： 用户无需手动更新密码，系统会自动完成。

哈希算法的选择：安全第一，兼顾性能

WordPress 使用的哈希算法经历了以下几个阶段：

哈希算法	安全性	性能	使用时间
MD5	非常低	非常高	早期版本
Portable Hashes	较低	较高	中期版本
bcrypt	非常高	较低	当前版本

从上表可以看出，WordPress 在选择哈希算法时，一直在追求更高的安全性。虽然 bcrypt 算法的性能较低，但为了安全，这是值得的。

wp_set_password() 函数：密码设置的幕后英雄

wp_check_password() 函数会调用 wp_set_password() 函数来更新密码。咱们也简单看一下 wp_set_password() 函数：

/**
 * Sets the user's password.
 *
 * @since 2.5.0
 *
 * @param string      $password The new password.
 * @param int|WP_User $user_id  User ID or WP_User object.
 * @return bool True on success, false on failure.
 */
function wp_set_password( $password, $user_id ) {
    global $wpdb;

    if ( ! is_numeric( $user_id ) ) {
        $user = get_user_by( 'login', $user_id );
        if ( ! $user ) {
            $user = get_user_by( 'email', $user_id );
        }
        if ( $user ) {
            $user_id = $user->ID;
        }
    }

    $user_id = (int) $user_id;

    if ( ! $user_id ) {
        return false;
    }

    $hash = wp_hash_password( $password );

    /**
     * Fires immediately before the user's password is changed.
     *
     * @since 2.0.1
     *
     * @param int $user_id The user ID.
     */
    do_action( 'personal_options_update', $user_id );

    $wpdb->update( $wpdb->users, array( 'user_pass' => $hash, 'user_activation_key' => '' ), array( 'ID' => $user_id ) );

    wp_cache_delete( $user_id, 'users' );

    /**
     * Fires immediately after the user's password has been changed.
     *
     * @since 2.0.1
     *
     * @param int $user_id The user ID.
     */
    do_action( 'personal_options_update', $user_id );

    wp_password_change_notification( get_userdata( $user_id ) );

    return true;
}

这个函数的主要功能是：

获取用户 ID： 根据传入的 $user_id 参数，获取用户 ID。
哈希密码： 使用 wp_hash_password() 函数对密码进行哈希。
更新数据库： 将哈希后的密码更新到数据库中。
清除缓存： 清除用户缓存。
发送通知： 发送密码更改通知。

wp_hash_password() 函数：哈希算法的掌舵者

wp_set_password() 函数会调用 wp_hash_password() 函数来对密码进行哈希。咱们也简单看一下 wp_hash_password() 函数：

/**
 * Hashes the password using the latest password hashing algorithm.
 *
 * @since 2.5.0
 *
 * @param string $password The password to hash.
 * @return string The hashed password.
 */
function wp_hash_password( $password ) {
    // Use the Password API if it exists.
    if ( function_exists( 'password_hash' ) ) {
        return password_hash( $password, PASSWORD_DEFAULT );
    }

    // Otherwise, use the portable hash class.
    require_once ABSPATH . WPINC . '/class-phpass.php';
    $wp_hasher = new PasswordHash( 8, true );

    return $wp_hasher->HashPassword( $password );
}

这个函数的主要功能是：

选择哈希算法： 如果 PHP 版本支持 password_hash() 函数，则使用该函数，否则使用 PasswordHash 类。
哈希密码： 使用选择的哈希算法对密码进行哈希。
返回哈希值： 返回哈希后的密码。

总结：wp_check_password() 函数的重要性

wp_check_password() 函数是 WordPress 密码验证的核心。它负责：

验证用户输入的密码是否正确。
兼容多种哈希算法。
触发密码更新。

理解 wp_check_password() 函数的源码，可以帮助我们更好地理解 WordPress 的安全性，以及如何保护用户的密码。

彩蛋：一些安全建议

使用强密码： 密码应该足够长，包含大小写字母、数字和特殊字符。
不要使用相同的密码： 不同的网站应该使用不同的密码。
定期更换密码： 定期更换密码可以降低密码泄露的风险。
启用双因素认证： 双因素认证可以增加账户的安全性。
保持 WordPress 和插件更新： 及时更新 WordPress 和插件可以修复安全漏洞。

好了，今天的讲座就到这里。希望大家对 wp_check_password() 函数有了更深入的理解。记住，安全无小事，保护密码人人有责！下次再见！

发表回复 取消回复

发表回复取消回复