发布于 由admin

详解 WordPress `wp_check_password()` 函数的源码：如何兼容旧版密码哈希，以保证平滑升级。

咳咳，各位同学们，老司机发车了！今天咱们要聊点刺激的——WordPress密码加密的那些事儿。尤其是那个神秘的wp_check_password()函数，它可是保证我们网站用户顺利过渡到新密码加密体系的关键人物。

开场白：密码，安全的心脏

想象一下，你的网站就像一座城堡，用户们就是城堡里的居民。密码，就是城堡大门的钥匙。如果钥匙不靠谱，那城堡的安全就岌岌可危了。WordPress一直在努力升级这把“钥匙”的安全等级，而wp_check_password()就像一个智能钥匙识别器，它能识别不同时代的钥匙，保证用户能顺利进入城堡。

wp_check_password()：密码验证界的“老中医”

wp_check_password()函数的主要作用就是验证用户输入的密码是否与数据库中存储的密码哈希匹配。但它厉害的地方在于，它能兼容WordPress历史上各种不同的密码哈希算法。这就像一位经验丰富的老中医，能根据不同的病症开出不同的药方。

源码剖析：一层层揭开它的神秘面纱

咱们直接上代码，看看wp-includes/pluggable.php里这个函数的庐山真面目（简化版，去掉了部分注释和不常用的分支）：

function wp_check_password( $password, $hash, $user_id = '' ) {
    global $wp_hasher;

    // 如果哈希值为空，说明密码未设置，验证失败
    if ( empty( $hash ) ) {
        return false;
    }

    // 初始化密码哈希器
    if ( empty( $wp_hasher ) ) {
        require_once ABSPATH . 'wp-includes/class-phpass.php';
        $wp_hasher = new PasswordHash( 8, true );
    }

    // 检查是否需要重新哈希密码
    $check = $wp_hasher->CheckPassword( $password, $hash );

    // 如果验证成功，并且需要重新哈希，则执行重新哈希操作
    if ( $check && password_needs_rehash( $hash, PASSWORD_DEFAULT ) ) {
        $new_hash = wp_hash_password( $password );
        wp_set_password( $password, $user_id ); // 更新用户密码
        wp_cache_delete( 'user_has_cap', $user_id ); // 清除用户权限缓存
        return true;
    }

    return $check;
}

代码解读：逐行剖析，抽丝剥茧

  1. if ( empty( $hash ) ) { return false; }:

    • 含义： 如果数据库里存的密码哈希值是空的，那说明这个用户压根没设置密码。
    • 作用： 直接返回false，验证失败。省得浪费时间去瞎猜。

  2. if ( empty( $wp_hasher ) ) { ... }:

    • 含义： wp_hasher 是一个用于哈希密码的类实例。如果它还没被初始化，就加载相关的类文件class-phpass.php，并创建一个新的实例。
    • 作用： 确保我们有可用的哈希工具。PasswordHash类来自phpass库，它提供了早期的密码哈希算法支持。

  3. $check = $wp_hasher->CheckPassword( $password, $hash );:

    • 含义： 这是核心的密码验证步骤。使用PasswordHash对象的CheckPassword方法，将用户输入的密码和数据库里的哈希值进行比较。
    • 作用： 尝试使用旧的哈希算法进行验证。如果验证成功，$check的值为true，否则为false。

  4. if ( $check && password_needs_rehash( $hash, PASSWORD_DEFAULT ) ) { ... }:

    • 含义： 这个if语句非常关键。它检查两个条件：
      • $check: 密码验证是否成功（即，使用旧的哈希算法验证成功）。
      • password_needs_rehash( $hash, PASSWORD_DEFAULT ): 当前的密码哈希是否需要使用新的算法重新哈希。
    • 作用： 如果使用旧算法验证成功，并且需要升级到新的哈希算法，就执行重新哈希操作。password_needs_rehash()函数会根据哈希值的特征判断是否需要重新哈希。

  5. $new_hash = wp_hash_password( $password );:

    • 含义： 使用wp_hash_password()函数，用最新的密码哈希算法（例如，bcrypt）重新哈希用户的密码。
    • 作用： 生成新的、更安全的密码哈希值。

  6. wp_set_password( $password, $user_id );:

    • 含义： 将新的密码哈希值更新到数据库中。注意，这里传递的是未哈希的密码$password，wp_set_password()内部会再次调用wp_hash_password()，确保存入数据库的是哈希值。
    • 作用： 更新数据库，使用户的密码哈希值保持最新。

  7. wp_cache_delete( 'user_has_cap', $user_id );:

    • 含义： 清除用户权限缓存。
    • 作用： 确保用户的权限信息是最新的，避免因为密码变更导致权限问题。

  8. return $check;:

    • 含义： 返回密码验证的结果。如果验证成功，返回true；否则，返回false。

兼容旧版密码哈希的秘诀

wp_check_password()之所以能兼容旧版密码哈希，主要归功于以下几点：

  • phpass库的支持： phpass库提供了对早期WordPress使用的MD5哈希算法的支持。通过PasswordHash类，wp_check_password()可以验证使用MD5哈希的密码。
  • password_needs_rehash()函数的判断： 这个函数能够根据哈希值的特征，判断是否需要使用新的哈希算法重新哈希密码。
  • 自动重新哈希： 当使用旧的哈希算法验证成功后，wp_check_password()会自动使用新的哈希算法重新哈希密码，并更新到数据库中。

WordPress密码哈希的历史演变

为了更好地理解wp_check_password()的作用，我们来回顾一下WordPress密码哈希的历史：

时间段 哈希算法 特点 安全性
WordPress早期 MD5 简单快速，但容易受到彩虹表攻击。 低
之后 Portable PHP password hashing framework (phpass) 使用了salt和多次哈希，比MD5更安全，但仍然存在一些漏洞。 中
WordPress 4.4+ bcrypt 一种更强的自适应哈希算法，能抵抗暴力破解和彩虹表攻击。被认为是目前最安全的密码哈希算法之一。 高
PHP 7.2+ Argon2i PHP 7.2 引入了 Argon2i 哈希算法，它在 bcrypt 的基础上更进一步，提供了更强的安全性。 WordPress 5.5 开始支持 Argon2i，但需要服务器满足 PHP 版本和编译选项的要求。 非常高

password_needs_rehash()：密码哈希升级的“导航员”

password_needs_rehash()函数是PHP内置的函数，用于判断一个密码哈希是否需要使用新的算法重新哈希。它的原型如下：

bool password_needs_rehash ( string $hash , int $algo [, array $options ] )
  • $hash: 要检查的密码哈希值。
  • $algo: 要使用的哈希算法，例如PASSWORD_DEFAULT（bcrypt）或PASSWORD_ARGON2I。
  • $options: 可选的哈希选项，例如cost（计算成本）。

password_needs_rehash()会根据$hash的特征（例如，哈希算法、salt等）和$algo指定的算法，判断是否需要重新哈希。如果需要，返回true；否则，返回false。

wp_hash_password()：密码哈希的“制造者”

wp_hash_password()函数用于哈希密码。它的原型如下：

function wp_hash_password( $password ) {
    global $wp_hasher;

    // 初始化密码哈希器
    if ( empty( $wp_hasher ) ) {
        require_once ABSPATH . 'wp-includes/class-phpass.php';
        $wp_hasher = new PasswordHash( 8, true );
    }

    // 检查是否可以使用 password_hash() 函数（PHP 5.5+）
    if ( function_exists( 'password_hash' ) ) {
        // 使用 password_hash() 函数哈希密码
        return password_hash( $password, PASSWORD_DEFAULT );
    } else {
        // 使用 phpass 库哈希密码
        return $wp_hasher->HashPassword( $password );
    }
}

这个函数会根据PHP版本和服务器配置，选择合适的哈希算法。如果PHP版本支持password_hash()函数（PHP 5.5+），则使用password_hash()函数和PASSWORD_DEFAULT算法（通常是bcrypt）。否则，使用phpass库的HashPassword()方法。

wp_set_password()：密码更新的“执行者”

wp_set_password()函数用于更新用户密码。它的原型如下：

function wp_set_password( $password, $user_id ) {
    global $wpdb;

    $hash = wp_hash_password( $password ); // 哈希密码

    $wpdb->update( $wpdb->users, array( 'user_pass' => $hash, 'user_activation_key' => '' ), array( 'ID' => $user_id ) );

    wp_cache_delete( 'user_has_cap', $user_id );
    wp_cache_delete( 'user_has_cap', $user_id ); // 再次删除，确保缓存被清除

    wp_password_change_notification( $user_id ); // 发送密码变更通知
}

这个函数会先使用wp_hash_password()函数哈希密码，然后将哈希值更新到数据库中。它还会清除用户权限缓存，并发送密码变更通知。

平滑升级：如何让用户无感知的过渡到新密码体系

wp_check_password()的自动重新哈希功能，是实现平滑升级的关键。当用户登录时，如果他们的密码哈希使用的是旧的算法，wp_check_password()会自动使用新的算法重新哈希密码，并更新到数据库中。用户在这个过程中是无感知的。

最佳实践：保障密码安全，提升用户体验

  • 保持WordPress版本更新： WordPress的更新通常包含对密码哈希算法的改进和安全漏洞的修复。
  • 使用HTTPS： 确保网站使用HTTPS，防止密码在传输过程中被窃听。
  • 强制用户使用强密码： 可以使用插件来强制用户设置强密码，例如，密码长度、包含大小写字母、数字和特殊字符。
  • 定期审查密码策略： 随着技术的进步，密码哈希算法也在不断发展。定期审查密码策略，确保使用最安全的算法。
  • 监控密码泄露事件： 关注密码泄露事件，及时通知用户修改密码。

总结：密码安全，永无止境

wp_check_password()函数是WordPress密码安全体系中的重要组成部分。它通过兼容旧版密码哈希，并自动升级到新的哈希算法，实现了平滑升级，保障了用户账户的安全。但是，密码安全是一个永无止境的过程。我们需要不断学习新的技术，并采取有效的措施，才能保护我们的网站和用户免受安全威胁。

好了，今天的课程就到这里。希望大家对wp_check_password()有了更深入的了解。记住，密码安全，人人有责！ 下课！

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注