如何通过Laravel实现高效安全的密码存储与验证？

本文共计1882个文字，预计阅读时间需要8分钟。

随着在线攻击的增多，密码安全愈发重要。作为开发者，我们必须承担起安全管理的责任，包括计算哈希和存储用户密码。无论是简单的游戏还是加密的商业文件库，都必须做到这一点。

随着在线攻击的增多，密码安全越来越重要。作为开发者我们要担负起安全管理、计算哈希和存储用户密码的责任，不管应用是简单的游戏还是绝密商业文件的仓库，都要做到这一点。PHP内置了一些工具，让保护密码变得更加容易，本节我们就来讨论如何根据现代的安全措施来使用这些工具。

1、密码保护三原则

绝对不能知道用户的密码

我们绝对不能知道用户的密码，也不能有获取用户密码的方式，如果应用的数据库被黑，你肯定不希望数据库中有纯文本或能解密的密码。任何时候，知道的越少越安全。

绝对不要约束用户的密码

如果要求密码符合特定的模式，其实是为不怀好意的人提供了攻击应用的途径，如果必须约束密码，我建议只限制最小长度，把常用的密码或基于字典创建的密码加入黑名单也是好主意。

绝对不能通过电子邮件发送用户密码

如果你通过电子邮件给用户发送密码，用户会知道三件事：你知道他的密码，你使用纯文本或能解密的方式存储了他的密码，你没有对通过互联网发送纯文本的密码感到不安。

我们应该在电子邮件中发送用于设置或修改密码的URL，Web应用通常会生成一个唯一的令牌，这个令牌只在设定或修改密码时使用一次（比如修改密码），通常我们把这个令牌作为设置或修改密码URL的一个参数，当用户访问这个URL时，应用会验证令牌是否有效，如果有效则继续操作，操作完成后，令牌失效，不能重复使用。