分析 WordPress `wp_verify_password()` 函数的源码：如何兼容旧版密码哈希，以保证平滑升级。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

大家好，我是老码，今天咱们聊聊WordPress里一个默默奉献，却举足轻重的函数——wp_verify_password()。别看它名字平平无奇，但它可是用户登录验证的守门员，肩负着验证用户输入的密码是否与数据库中存储的密码哈希匹配的重任。更重要的是，它还要负责兼容WordPress历史遗留的各种密码哈希算法，保证升级过程中用户的登录体验不受影响。这可不是件容易的事儿，咱们今天就来扒一扒它的源码，看看它是怎么做到的。

密码哈希的演变史：一部WordPress的安全进化史

在深入wp_verify_password() 之前，咱们先要了解一下WordPress密码哈希的演变历程。这段历史，其实就是WordPress不断提升安全性的一个缩影。

WordPress版本	密码哈希算法	说明
早期版本	MD5	简单粗暴，安全性极低，早已被淘汰。
2.5+	phpass (Portable PHP password hashing framework)	使用基于bcrypt思想的哈希算法，但自己实现，安全性有所提升，但仍存在一些问题。
4.4+	bcrypt	采用PHP内置的`password_hash()`和`password_verify()`函数，使用更标准的bcrypt算法，安全性大幅提升。

可以看到，WordPress的密码哈希算法一直在进化。为了保证用户升级后仍然能够正常登录，wp_verify_password() 必须能够识别并验证所有这些旧的哈希算法。

wp_verify_password() 源码剖析：兼容是王道

接下来，咱们一起看看wp_verify_password() 的源码，看看它是如何兼容旧版密码哈希的。

/**
 * Verifies that a password matches a hash.
 *
 * @since 2.5.0
 *
 * @param string $password The password to check.
 * @param string $hash     The hash to test against.
 * @return bool True if the password matches the hash, false otherwise.
 */
function wp_verify_password( $password, $hash ) {
    if ( ! is_string( $hash ) || empty( $password ) ) {
        return false;
    }

    // If the hash is still using MD5, re-hash it.
    if ( strlen( $hash ) === 32 && preg_match( '/^[a-f0-9]{32}$/', $hash ) ) {
        $new_hash = wp_hash_password( $password );
        if ( $new_hash ) {
            wp_set_password( $password, get_current_user_id() ); // Rehash and update in the database.
            return hash_equals( $new_hash, $hash ); // Compare the new hash to the old one.
        } else {
            return false;
        }
    }

    // If the hash starts with $P$ or $H$, it's phpass.
    if ( 0 === strpos( $hash, '$P$' ) || 0 === strpos( $hash, '$H$' ) ) {
        require_once ABSPATH . WPINC . '/class-phpass.php';
        $hasher = new PasswordHash( 8, true );
        return $hasher->CheckPassword( $password, $hash );
    }

    // Use password_verify if available (PHP 5.5+).
    if ( function_exists( 'password_verify' ) ) {
        return password_verify( $password, $hash );
    }

    return false;
}

咱们来逐行解读一下这段代码：

参数校验：
```
if ( ! is_string( $hash ) || empty( $password ) ) {
    return false;
}
```
首先，函数会检查传入的 $hash 是否为字符串，并且 $password 是否为空。如果其中任何一个条件不满足，则直接返回 false，表示验证失败。这是一个良好的编程习惯，可以避免一些潜在的错误。
MD5 哈希兼容：
```
if ( strlen( $hash ) === 32 && preg_match( '/^[a-f0-9]{32}$/', $hash ) ) {
    $new_hash = wp_hash_password( $password );
    if ( $new_hash ) {
        wp_set_password( $password, get_current_user_id() ); // Rehash and update in the database.
        return hash_equals( $new_hash, $hash ); // Compare the new hash to the old one.
    } else {
        return false;
    }
}
```
这段代码是用来处理使用 MD5 哈希的旧密码的。它首先检查 $hash 的长度是否为 32，并且是否只包含十六进制字符。如果满足这两个条件，则认为 $hash 是一个 MD5 哈希。
- wp_hash_password( $password )：使用当前最新的哈希算法（通常是 bcrypt）对用户输入的密码进行重新哈希。
- wp_set_password( $password, get_current_user_id() )：将新生成的哈希值更新到数据库中。这样，下次用户登录时，就可以使用新的哈希值进行验证。
- hash_equals( $new_hash, $hash )：使用 hash_equals() 函数比较新生成的哈希值和旧的哈希值。为什么要比较呢？这是为了防止在重新哈希过程中出现错误。如果新生成的哈希值和旧的哈希值不匹配，则说明重新哈希的过程中出现了错误，应该拒绝登录。 hash_equals() 函数是为了防止时序攻击而设计的，可以更安全地比较两个哈希值。
为什么要重新哈希？ 因为MD5太不安全了！重新哈希可以将用户的密码升级到更安全的哈希算法，提高安全性。

为什么先比较再更新？ 这是一种安全措施。如果直接更新数据库，但重新哈希的过程中出现错误，那么用户的密码就会丢失。先比较可以确保重新哈希是成功的，然后再更新数据库。
phpass 哈希兼容：
```
if ( 0 === strpos( $hash, '$P$' ) || 0 === strpos( $hash, '$H$' ) ) {
    require_once ABSPATH . WPINC . '/class-phpass.php';
    $hasher = new PasswordHash( 8, true );
    return $hasher->CheckPassword( $password, $hash );
}
```
这段代码用于处理使用 phpass 哈希的旧密码。 phpass 是 WordPress 在 2.5 版本中引入的一种密码哈希算法。
- 0 === strpos( $hash, '$P$' ) || 0 === strpos( $hash, '$H$' )：检查 $hash 是否以 $P$ 或 $H$ 开头。这是 phpass 哈希的特征。
- require_once ABSPATH . WPINC . '/class-phpass.php'：引入 phpass 相关的类文件。
- $hasher = new PasswordHash( 8, true )：创建一个 PasswordHash 对象。
- $hasher->CheckPassword( $password, $hash )：调用 CheckPassword() 方法来验证密码。
为什么要引入 class-phpass.php？ 因为 phpass 算法并没有内置在 PHP 中，需要使用单独的类库来实现。
bcrypt 哈希兼容：
```
if ( function_exists( 'password_verify' ) ) {
    return password_verify( $password, $hash );
}
```
这段代码用于处理使用 bcrypt 哈希的密码。 bcrypt 是 PHP 5.5+ 内置的一种密码哈希算法，也是目前 WordPress 推荐使用的哈希算法。
- function_exists( 'password_verify' )：检查 password_verify() 函数是否存在。如果存在，则说明 PHP 版本支持 bcrypt 哈希。
- password_verify( $password, $hash )：调用 password_verify() 函数来验证密码。
为什么需要 function_exists() 检查？ 因为 password_verify() 函数是在 PHP 5.5 中引入的。为了兼容旧版本的 PHP，需要先检查该函数是否存在。
默认返回值：
```
return false;
```
如果以上所有条件都不满足，则返回 false，表示验证失败。

wp_verify_password() 的兼容策略总结

通过上面的分析，我们可以看到，wp_verify_password() 函数的兼容策略主要有以下几点：

算法识别： 通过检查哈希值的特征（例如长度、前缀等）来识别不同的哈希算法。
算法实现： 针对不同的哈希算法，使用不同的验证方法。对于 MD5 和 phpass，需要使用 WordPress 自带的函数库来实现验证。对于 bcrypt，则可以使用 PHP 内置的 password_verify() 函数。
逐步升级： 对于使用 MD5 哈希的密码，会将其升级到更安全的哈希算法。这样，可以逐步淘汰不安全的哈希算法，提高系统的安全性。

平滑升级的艺术：细节决定成败

wp_verify_password() 的兼容策略，保证了WordPress在升级过程中，用户的登录体验不会受到影响。这种平滑升级的艺术，体现在以下几个方面：

无感知的哈希升级： 对于使用 MD5 哈希的密码，会在用户登录时自动升级到更安全的哈希算法。用户无需手动修改密码，即可享受到更高的安全性。
兼容旧版本： 即使升级到最新的 WordPress 版本，仍然可以兼容使用旧版本哈希算法的密码。这样，可以避免用户因为密码不兼容而无法登录的问题。
安全可靠： 在升级哈希算法的过程中，会进行严格的校验，确保升级过程不会出错。这样，可以避免用户的密码丢失或损坏。

代码示例：模拟 wp_verify_password() 的兼容逻辑

为了更好地理解 wp_verify_password() 的兼容逻辑，咱们可以自己写一个简单的函数来模拟它的行为。

function my_verify_password( $password, $hash ) {
    if ( ! is_string( $hash ) || empty( $password ) ) {
        return false;
    }

    if ( strlen( $hash ) === 32 && preg_match( '/^[a-f0-9]{32}$/', $hash ) ) {
        // MD5
        $new_hash = md5( $password ); // 简单起见，这里直接使用 md5() 函数
        return hash_equals( $new_hash, $hash );
    } elseif ( strpos( $hash, '$2y$' ) === 0 ) {
        // bcrypt (假设PHP版本支持)
        return password_verify( $password, $hash );
    } else {
        // 未知哈希类型
        return false;
    }
}

// 示例
$password = 'mysecretpassword';
$md5_hash = '5f4dcc3b5aa765d61d8327deb882cf99'; // $password 的 MD5 哈希
$bcrypt_hash = password_hash( $password, PASSWORD_DEFAULT ); // bcrypt 哈希

echo "MD5 验证: " . (my_verify_password( $password, $md5_hash ) ? '成功' : '失败') . PHP_EOL;
echo "bcrypt 验证: " . (my_verify_password( $password, $bcrypt_hash ) ? '成功' : '失败') . PHP_EOL;

// 故意错误的密码
echo "错误密码 MD5 验证: " . (my_verify_password( 'wrongpassword', $md5_hash ) ? '成功' : '失败') . PHP_EOL;

这个例子只是一个简化版的 wp_verify_password()，它只支持 MD5 和 bcrypt 两种哈希算法。但是，它可以帮助我们理解 wp_verify_password() 的基本原理。

安全建议：拥抱 bcrypt，远离 MD5

最后，老码要给大家提几点安全建议：

永远不要使用 MD5 哈希密码！ MD5 已经被证明是不安全的，很容易被破解。
尽量使用 bcrypt 哈希密码。 bcrypt 是一种更安全的哈希算法，可以有效地防止密码被破解。
定期更新密码。 定期更新密码可以降低密码被破解的风险。
使用强密码。 强密码可以增加密码被破解的难度。

总结：兼容性是WordPress成功的基石

wp_verify_password() 函数是WordPress兼容性的一个缩影。 WordPress之所以能够取得今天的成功，很大程度上归功于其强大的兼容性。通过兼容旧版本，WordPress可以保证用户在升级过程中不会遇到问题，从而提高了用户的满意度和忠诚度。

好了，今天的讲座就到这里。希望大家通过今天的学习，能够对 wp_verify_password() 函数有更深入的了解。记住，兼容性是软件开发中一个非常重要的方面，它可以直接影响用户的体验和系统的安全性。咱们下期再见！

发表回复 取消回复

发表回复取消回复