PHP password_get_info 怎样读取哈希算法和成本参数

PHP 的 password_get_info() 用来读取已有密码哈希携带的算法信息。它会返回 algo、algoName 和 options，其中 bcrypt 常见的成本参数会出现在 options['cost'] 中。要注意：它只读取哈希元数据，不负责判断某个明文密码是否匹配。

password_get_info 返回哪些字段

最小用法是把数据库中的哈希传给函数，再按键读取结果：

在当前 PHP 手册定义中，返回值是一个数组。algo 表示算法标识，algoName 是可读的算法名称，options 则包含生成该哈希时使用的选项。不同算法的选项不同，所以不要假定所有哈希都有 cost。

读取 cost 时不要把算法参数写死

如果业务只关心 bcrypt 的成本，可以从 options 中取值；但更稳妥的写法是先检查键是否存在，再决定展示或比较。Argon2 等算法的参数名称和含义并不等同于 bcrypt 的 cost。

 $info['algo'] ?? 0,
        'algoName' => $info['algoName'] ?? 'unknown',
        'cost' => array_key_exists('cost', $options) ? $options['cost'] : null,
        'optionKeys' => array_keys($options),
    ];
}

$summary = summarizePasswordHash($storedHash);
print_r($summary);
?>

这里保留了完整的 optionKeys，方便迁移脚本知道实际存在什么参数；对外展示或日志记录时，只输出算法名称和参数摘要，不要输出完整哈希。

未知哈希要按 unknown 分支处理

传入的字符串不是由 PHP 密码哈希 API 识别的格式时，返回结果不能被当成“算法是空”。应用应把它当成未识别输入，避免继续根据不存在的成本参数做升级判断：

如果系统还兼容旧密码格式，应在登录流程中明确安排旧算法的兼容分支，并在成功认证后迁移；不要仅凭 password_get_info() 的返回值把未知哈希当作可登录凭据。

登录流程中要把三个函数分工清楚

实际登录通常有三个不同问题：哈希用了什么算法、用户输入的密码是否匹配、当前参数是否需要升级。对应的函数也不同：

例如，成功验证后再决定是否生成新哈希：

排查和迁移时记住这几个边界

• password_get_info() 读的是哈希中携带的元数据，不会验证明文。
• options 是算法相关的数组，只有存在时才读取 cost 或其他参数。
• 日志中记录算法摘要可以帮助迁移排查，但不要记录明文和完整哈希。
• 旧哈希迁移应放在成功登录之后，不能因为“发现未知算法”就直接重置或覆盖密码。

PHP 官方手册：https://www.php.net/manual/en/function.password-get-info.php。文章中的三个函数要按职责分开使用，最容易避免的错误就是把“读参数”误写成“验密码”。

相关问题

为什么 options 里没有 cost？ 因为算法不一定使用 bcrypt 的 cost 参数，先看 algoName 和实际选项键。

password_get_info 能判断密码正确吗？ 不能，它只读取哈希信息；正确性由 password_verify() 判断。

什么时候调用 password_needs_rehash？ 通常是在 password_verify() 成功之后，用当前策略检查是否需要生成新哈希。