password_hash() in PHP: Cos’è e A Cosa Serve?

Introduzione

La funzione password_hash() in PHP è uno strumento potente e sicuro per gestire le password degli utenti. In questo articolo, esploreremo come utilizzare password_hash() per migliorare la sicurezza delle applicazioni web.

Spiegazione

La funzione password_hash() è stata introdotta in PHP 5.5 e consente di creare hash sicuri delle password. Utilizza algoritmi di hashing robusti come BCRYPT per garantire che le password siano protette da attacchi di forza bruta e compromissioni. L’hash generato include anche un “salt” casuale e il costo di calcolo, rendendo ogni hash unico anche per la stessa password. Questo rende più difficile per gli attaccanti utilizzare rainbow tables per craccare le password.

Quando si utilizza

La funzione password_hash() dovrebbe essere utilizzata ogni volta che si memorizzano password nel database. Non è sicuro memorizzare password in testo semplice o utilizzare algoritmi di hashing obsoleti come MD5 o SHA1. Utilizzando password_hash(), si garantisce che le password degli utenti siano adeguatamente protette. Inoltre, è importante utilizzare password_verify() per controllare le password durante il processo di login.

Esempi

Vediamo come utilizzare password_hash() e password_verify() in un contesto pratico.

<?php
// Creare un hash della password
$password = 'Password123';
$hash = password_hash($password, PASSWORD_BCRYPT);

echo "Hash generato: " . $hash;
?>

Nell’esempio sopra, abbiamo creato un hash per la password ‘Password123’ utilizzando l’algoritmo BCRYPT. L’hash risultante può essere memorizzato nel database.

<?php
// Verificare una password
$password = 'Password123';
$hash = '$2y$10$e0MYzXyjpJS2r1tbGDT0Hu5Vr5BfQ4Z5L8X0E3LXj5jGzZ8Qk1ZRm'; // L'hash memorizzato nel database

if (password_verify($password, $hash)) {
    echo "La password è corretta.";
} else {
    echo "La password è errata.";
}
?>

In questo esempio, utilizziamo password_verify() per controllare se la password fornita dall’utente corrisponde all’hash memorizzato nel database. Questo è un modo sicuro per autenticare gli utenti senza esporre le loro password reali.