解析 WordPress `wp_hash_password()` 和 `wp_check_password()` 函数源码：密码哈希的升级与兼容性。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

各位观众老爷，大家好！今天咱们来聊聊WordPress的密码安全，重点剖析一下 wp_hash_password() 和 wp_check_password() 这两个“守门神”。别看它们名字简单，里面可是藏着不少玄机，尤其是关于密码哈希的升级和兼容性问题，一不小心就可能让你的用户进不了家门。

咱们先来热热身，了解一下密码存储的基本概念。

密码存储的那些事儿

话说，咱们都知道直接把用户的密码明文存在数据库里是绝对要不得的。为什么？因为一旦数据库被攻破，所有用户的密码就全都暴露了，那场面简直比双十一还要惨烈。

所以，我们需要对密码进行哈希处理。哈希函数就好比一个单行道的榨汁机，你放进去任何东西，它都会吐出一个固定长度的“汁液”，而且这个过程是不可逆的，也就是说，你没办法从“汁液”反推出原来的“水果”是什么。

但是，光有哈希还不够，还需要加点“盐”。 “盐”就是一个随机字符串，把它和密码组合在一起再进行哈希，这样即使两个用户使用了相同的密码，他们的哈希值也会不一样。这就好比给榨汁机加了个随机调味剂，让榨出来的“汁液”味道千奇百怪，黑客想要通过“彩虹表”（预先计算好的哈希值表）破解密码就难上加难了。

wp_hash_password()：密码哈希的制造者

好了，废话不多说，直接上代码，咱们来看看 wp_hash_password() 这个函数是怎么工作的：

function wp_hash_password( $password ) {
    /**
     * Filters the hashing algorithm used to hash a password.
     *
     * @since 2.5.0
     *
     * @param string $algo The hashing algorithm to use. Default 'wp_hash_password'.
     */
    $algo = apply_filters( 'wp_hash_password', '$P$B' );

    return _hash_password_helper( $password, $algo );
}

/**
 * Private helper function to hash passwords.
 *
 * @since 2.5.0
 * @access private
 *
 * @param string $password Plaintext user password to hash.
 * @param string $algo     The hashing algorithm to use.
 * @return string The encrypted password
 */
function _hash_password_helper( $password, $algo ) {
    global $wp_hasher;

    if ( empty( $wp_hasher ) ) {
        require_once ABSPATH . WPINC . '/class-phpass.php';
        $wp_hasher = new PasswordHash( 8, true );
    }

    return $wp_hasher->HashPassword( $password );
}

看起来有点长，但其实逻辑很简单：

apply_filters( 'wp_hash_password', '$P$B' ): 这个东东允许开发者通过过滤器来改变密码哈希的算法。默认情况下，它使用的是 $P$B 这个“魔术字符串”，代表一种古老的基于MD5的哈希算法，这种算法现在已经不太安全了。但是，WordPress为了兼容老版本，依然保留了它。
_hash_password_helper(): 这个函数才是真正干活的。它首先会检查全局变量 $wp_hasher 是否存在，如果不存在，就加载 class-phpass.php 文件，并创建一个 PasswordHash 类的实例。
$wp_hasher->HashPassword( $password ): 最后，调用 PasswordHash 类的 HashPassword() 方法，对密码进行哈希处理，并返回哈希后的密码。

这里的 PasswordHash 类是 WordPress 使用的密码哈希库，它支持多种哈希算法，包括：

基于MD5的哈希算法（$P$B）: 这是最古老的算法，安全性最低，已经不推荐使用。
bcrypt算法: 这是目前最安全的哈希算法之一，WordPress 3.5之后开始支持。

wp_check_password()：密码验证的卫士

接下来，咱们再来看看 wp_check_password() 函数，它是用来验证用户输入的密码是否正确的：

function wp_check_password( $password, $hash, $user_id = '' ) {
    global $wp_hasher;

    if ( empty( $wp_hasher ) ) {
        require_once ABSPATH . WPINC . '/class-phpass.php';
        $wp_hasher = new PasswordHash( 8, true );
    }

    $check = $wp_hasher->CheckPassword( $password, $hash );

    /**
     * Fires after a password has been checked for validity.
     *
     * @since 2.5.0
     *
     * @param bool   $check   Whether the password is valid.
     * @param string $password The password in plain text.
     * @param string $hash     The hash to check the password against.
     * @param int    $user_id  The user ID.
     */
    do_action( 'check_password', $check, $password, $hash, $user_id );

    return apply_filters( 'wp_check_password', $check, $password, $hash, $user_id );
}

这个函数的工作流程也很简单：

加载 PasswordHash 类: 和 wp_hash_password() 函数一样，它首先会检查全局变量 $wp_hasher 是否存在，如果不存在，就加载 class-phpass.php 文件，并创建一个 PasswordHash 类的实例。
$wp_hasher->CheckPassword( $password, $hash ): 调用 PasswordHash 类的 CheckPassword() 方法，对用户输入的密码和数据库中存储的哈希值进行比较。
do_action( 'check_password', ... ) 和 apply_filters( 'wp_check_password', ... ): 这两个函数允许开发者在密码验证之后执行一些额外的操作，比如记录日志、发送邮件等等。

CheckPassword() 方法会根据哈希值的格式来判断使用哪种哈希算法进行验证。这就意味着，即使你的数据库中存储了多种不同哈希算法的密码，wp_check_password() 函数也能正确地验证它们。

密码哈希的升级与兼容性

重点来了！ WordPress 如何处理密码哈希的升级和兼容性问题呢？

主要依靠以下几点：

PasswordHash 类的智能识别: PasswordHash 类能够自动识别哈希值的格式，并选择正确的哈希算法进行验证。
wp_hash_password() 函数的过滤器: 通过 wp_hash_password 过滤器，开发者可以自定义密码哈希算法。
在登录时自动升级哈希: 如果用户使用旧的哈希算法登录成功，WordPress 会自动将他们的密码哈希升级到新的算法。

咱们来详细说说第三点。 PasswordHash 类的 CheckPassword() 方法在验证密码成功后，会检查哈希值是否需要升级。如果需要升级，它会返回 true，并且设置一个名为 $this->needs_rehash 的属性为 true。

然后，在 wp-login.php 文件中，WordPress 会检查 $wp_hasher->needs_rehash 的值，如果为 true，就会调用 wp_set_password() 函数来重新哈希用户的密码。

// wp-login.php (简化后的代码)
$user = wp_signon( $credentials, $secure_cookie );

if ( ! is_wp_error( $user ) ) {
    if ( isset( $wp_hasher ) && $wp_hasher->needs_rehash ) {
        wp_set_password( $credentials['user_password'], $user->ID );
    }

    wp_safe_redirect( admin_url() );
    exit;
}

wp_set_password() 函数会调用 wp_hash_password() 函数来生成新的哈希值，并将新的哈希值存储到数据库中。这样，下次用户登录时，就会使用新的哈希算法进行验证了。

代码示例：自定义密码哈希算法

如果你想自定义密码哈希算法，可以使用 wp_hash_password 过滤器。例如，你可以使用 bcrypt 算法来哈希密码：

add_filter( 'wp_hash_password', 'my_custom_hash_algorithm' );

function my_custom_hash_algorithm( $algo ) {
    return '$2y$10$'; // bcrypt算法的标识符
}

上面的代码会将默认的密码哈希算法修改为 bcrypt 算法。需要注意的是，bcrypt 算法的标识符是 $2y$10$，其中 10 代表 bcrypt 的 cost factor，它决定了哈希的计算复杂度。 cost factor 越高，哈希的计算时间越长，安全性也越高，但同时也会增加服务器的负担。

代码示例：检查密码是否需要升级

如果你想手动检查密码是否需要升级，可以使用 PasswordHash 类的 PasswordNeedsUpdate() 方法：

global $wp_hasher;

if ( empty( $wp_hasher ) ) {
    require_once ABSPATH . WPINC . '/class-phpass.php';
    $wp_hasher = new PasswordHash( 8, true );
}

$hash = get_user_meta( $user_id, 'user_pass', true ); // 获取用户的密码哈希值

if ( $wp_hasher->PasswordNeedsUpdate( $hash, 8 ) ) {
    // 密码需要升级
    $new_password = wp_generate_password( 12, false ); // 生成一个随机密码
    wp_set_password( $new_password, $user_id ); // 设置新的密码
    // ... 发送邮件通知用户修改密码 ...
}

上面的代码会检查用户的密码哈希值是否需要升级。如果需要升级，它会生成一个随机密码，并将新的密码哈希值存储到数据库中。然后，它会发送邮件通知用户修改密码。

总结

咱们来总结一下今天讲的内容：

wp_hash_password() 函数用于生成密码哈希值。
wp_check_password() 函数用于验证密码是否正确。
WordPress 使用 PasswordHash 类来处理密码哈希的生成和验证。
WordPress 支持多种哈希算法，包括基于MD5的哈希算法和bcrypt算法。
WordPress 会在登录时自动升级密码哈希。
你可以使用 wp_hash_password 过滤器来自定义密码哈希算法。

常见问题

最后，咱们再来解答几个常见问题：

问题	答案
为什么 WordPress 还在使用 MD5 算法？	为了兼容老版本，WordPress 仍然保留了 MD5 算法。但是，强烈建议你升级到更安全的算法，比如 bcrypt。
如何升级到 bcrypt 算法？	你可以使用 `wp_hash_password` 过滤器来强制使用 bcrypt 算法。同时，WordPress 会在用户登录时自动升级密码哈希。
如何判断密码是否需要升级？	你可以使用 `PasswordHash` 类的 `PasswordNeedsUpdate()` 方法来判断密码是否需要升级。
修改 cost factor 会影响现有密码吗？	不会。 `PasswordHash` 类能够自动识别哈希值的 cost factor，并使用正确的 cost factor 进行验证。
如果用户忘记密码，怎么办？	WordPress 提供了忘记密码的功能。用户可以通过邮箱重置密码。在重置密码时，WordPress 会生成一个新的密码哈希值。
我的网站被黑了，密码也泄露了，怎么办？	立即修改所有用户的密码，并强制他们重置密码。同时，检查你的网站是否存在漏洞，并及时修复。此外，建议你开启双因素认证，以提高安全性。

好了，今天的讲座就到这里。希望大家能够对 WordPress 的密码哈希机制有更深入的了解。记住，密码安全无小事，一定要重视！感谢大家的收听，咱们下次再见！

发表回复 取消回复

发表回复取消回复