发布于 由admin

剖析 `wp_verify_password()` 函数的源码，解释它如何兼容 `phpass` 和未来的密码哈希算法。

WordPress 密码验证的秘密武器：wp_verify_password() 源码剖析

各位观众老爷，大家好！我是你们的老朋友，今天咱们来聊聊 WordPress 密码验证这块的“硬骨头”。

你肯定遇到过这样的情况：辛辛苦苦设了个复杂的密码，结果 WordPress 升级后，突然就登不进去了！是不是很崩溃？ 这背后的原因，往往就藏在 wp_verify_password() 这个函数里。

wp_verify_password() 不仅仅是一个简单的密码比较函数，它肩负着兼容 phpass 这种老式哈希算法，同时为未来更安全的密码哈希算法铺路的重任。 让我们一起扒开它的源码，看看它是如何做到“新老通吃”的。

1. wp_verify_password() 的身世背景

首先，我们来了解一下 wp_verify_password() 的作用：

  • 验证密码： 这是最基本的功能，判断用户输入的密码是否与数据库中存储的哈希值匹配。
  • 兼容性： 能够处理多种密码哈希算法，包括老旧的 phpass 以及 WordPress 新版本中使用的 bcrypt。
  • 密码升级： 如果数据库中的哈希算法已经过时，wp_verify_password() 还可以自动将密码升级到更安全的算法。

简单来说，wp_verify_password() 就是 WordPress 密码验证的“守门员”，它不仅要确保密码正确，还要保证密码的安全性。

2. 源码解析：抽丝剥茧，层层揭秘

现在，让我们深入 wp_verify_password() 的源码，看看它是如何工作的。以下是该函数的核心代码（基于 WordPress 6.x）：

/**
 * Verifies that a password matches a hash.
 *
 * @since 2.5.0
 *
 * @param string $password Plain text user's password.
 * @param string $hash     Hash stored in the database.
 *
 * @return bool Whether the password matches the hash.
 */
function wp_verify_password( $password, $hash ) {
    if ( ! is_string( $hash ) || empty( $password ) ) {
        return false;
    }

    // If the hash is longer than 255 characters, assume
    // it is a bcrypt hash, and check it that way.
    if ( strlen( $hash ) > 255 ) {
        return password_verify( $password, $hash );
    }

    global $wp_hasher;

    if ( empty( $wp_hasher ) ) {
        require_once ABSPATH . WPINC . '/class-phpass.php';
        $wp_hasher = new PasswordHash( 8, true );
    }

    return $wp_hasher->CheckPassword( $password, $hash );
}

我们来逐行解读这段代码：

  1. 参数校验：

    if ( ! is_string( $hash ) || empty( $password ) ) {
    return false;
}

    首先，函数会检查传入的 $hash 是否为字符串，以及 $password 是否为空。如果任何一个条件不满足，直接返回 false，表示密码验证失败。 这是一种良好的编程习惯，可以避免不必要的错误。

  2. 判断哈希算法：

    if ( strlen( $hash ) > 255 ) {
    return password_verify( $password, $hash );
}

    这里是关键！ 函数通过哈希值的长度来判断使用的哈希算法。 如果哈希值的长度超过 255 个字符，函数会认为它是一个 bcrypt 哈希值，然后使用 PHP 内置的 password_verify() 函数进行验证。

    为什么是 255 个字符？ 这是因为 phpass 算法生成的哈希值通常较短，而 bcrypt 生成的哈希值较长。通过这个简单的判断，wp_verify_password() 就可以区分不同的哈希算法。

  3. 处理 phpass 哈希：

    global $wp_hasher;

if ( empty( $wp_hasher ) ) {
    require_once ABSPATH . WPINC . '/class-phpass.php';
    $wp_hasher = new PasswordHash( 8, true );
}

return $wp_hasher->CheckPassword( $password, $hash );

    如果哈希值的长度小于等于 255 个字符，函数会认为它是一个 phpass 哈希值。 然后，它会检查全局变量 $wp_hasher 是否已经初始化。 如果没有，它会加载 class-phpass.php 文件，并创建一个 PasswordHash 对象。 最后，使用 PasswordHash::CheckPassword() 方法来验证密码。

3. phpass 和 bcrypt：新老哈希算法的对决

既然提到了 phpass 和 bcrypt，我们就来简单了解一下这两种哈希算法。

  • phpass：

    phpass 是一种比较古老的密码哈希算法。 它的主要优点是简单易用，并且在 PHP 5.3 之前的版本中，没有内置更安全的哈希函数。 但是，phpass 的安全性相对较低，容易受到暴力破解攻击。

  • bcrypt：

    bcrypt 是一种更安全的密码哈希算法。 它的主要优点是具有自适应性，可以根据硬件性能调整哈希的计算复杂度，从而有效地防止暴力破解攻击。 从 PHP 5.5 开始，PHP 内置了 password_hash() 和 password_verify() 函数，可以使用 bcrypt 算法进行密码哈希。

为了更直观地比较这两种算法，我们可以用一个表格来总结它们的特点：

特性 phpass bcrypt
安全性 较低 较高
复杂性 较低 较高
自适应性 无 有
PHP 支持 需要第三方库 内置（PHP 5.5+）
哈希值长度 通常较短（例如，小于等于 255 个字符） 通常较长（例如，超过 255 个字符）

4. 密码升级：保障用户安全的重要一步

wp_verify_password() 的另一个重要功能是密码升级。 也就是说，如果数据库中的密码哈希值是使用 phpass 算法生成的，而 WordPress 已经升级到使用 bcrypt 算法，wp_verify_password() 会在验证密码的同时，自动将密码升级到 bcrypt 算法。

虽然在上面的源码中没有直接体现密码升级的逻辑，但是它通常发生在密码验证成功之后。 以下是密码升级的伪代码：

if ( wp_verify_password( $password, $hash ) ) {
    // 密码验证成功
    if ( strlen( $hash ) <= 255 ) {
        // 如果是 phpass 哈希，则升级到 bcrypt
        $new_hash = password_hash( $password, PASSWORD_DEFAULT );
        // 更新数据库中的密码哈希值
        update_user_meta( $user_id, 'user_pass', $new_hash );
    }
    return true;
} else {
    // 密码验证失败
    return false;
}

这段代码首先使用 wp_verify_password() 验证密码。 如果验证成功，并且哈希值是 phpass 哈希，则使用 password_hash() 函数生成一个新的 bcrypt 哈希值，并将数据库中的旧哈希值替换为新哈希值。 这样，下次用户登录时，就会使用 bcrypt 算法进行密码验证。

密码升级是一个非常重要的安全措施。 它可以将旧的、不安全的密码哈希算法升级到更安全的算法，从而提高用户的账户安全性。

5. 兼容未来：灵活应对密码哈希算法的演变

wp_verify_password() 的设计也考虑到了未来的兼容性。 通过判断哈希值的长度，它可以很容易地支持新的密码哈希算法。

例如，如果未来出现了一种新的哈希算法，其哈希值的长度与 phpass 和 bcrypt 都不同，我们只需要修改 wp_verify_password() 函数中的判断逻辑，就可以支持这种新的算法。

以下是修改后的代码示例：

function wp_verify_password( $password, $hash ) {
    if ( ! is_string( $hash ) || empty( $password ) ) {
        return false;
    }

    // 判断哈希算法
    if ( strlen( $hash ) > 255 ) {
        // bcrypt
        return password_verify( $password, $hash );
    } elseif ( strlen( $hash ) == 60 ) {
        // 新的哈希算法，例如 Argon2
        //  假设 Argon2 使用 password_verify() 函数进行验证
        return password_verify( $password, $hash );

    } else {
        // phpass
        global $wp_hasher;

        if ( empty( $wp_hasher ) ) {
            require_once ABSPATH . WPINC . '/class-phpass.php';
            $wp_hasher = new PasswordHash( 8, true );
        }

        return $wp_hasher->CheckPassword( $password, $hash );
    }
}

在这个示例中，我们增加了一个 elseif 分支，用于判断哈希值的长度是否为 60 个字符。 如果是，我们假设它是一种新的哈希算法（例如，Argon2），并使用 password_verify() 函数进行验证。

当然，这只是一个简单的示例。 在实际应用中，我们可能需要更复杂的判断逻辑，例如，检查哈希值的前缀或后缀，或者使用专门的函数来判断哈希算法。

6. 总结：wp_verify_password() 的精髓

wp_verify_password() 函数虽然看起来简单，但它却蕴含着 WordPress 对密码安全的重视和对未来兼容性的考虑。

它的精髓在于：

  • 兼容性： 能够处理多种密码哈希算法，包括 phpass 和 bcrypt。
  • 密码升级： 可以自动将旧的、不安全的密码哈希算法升级到更安全的算法。
  • 灵活性： 可以很容易地支持新的密码哈希算法。

通过深入了解 wp_verify_password() 的源码，我们可以更好地理解 WordPress 的密码安全机制，并为未来的密码安全方案做好准备。

最后，希望今天的讲解对大家有所帮助。 记住，密码安全无小事，保护好自己的账户，从了解 wp_verify_password() 开始！ 下次再见！

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注