PHP: полный мануал с примерами, функциями и ООП

<?php
declare(strict_types=1);

$hash = password_hash('Учебная фраза', PASSWORD_DEFAULT);
if (password_verify('Учебная фраза', $hash)) {
    echo "Пароль совпал. Следующий шаг — начать вход.\n";
}

Пароль совпал. Следующий шаг — начать вход.

Случайная соль меняет строку hash при каждом создании; проверка читает параметры из уже сохранённой строки. Сравнивать два новых password_hash через === нельзя.

<?php
declare(strict_types=1);

echo function_exists('password_hash') ? "API доступно\n" : "API отсутствует\n";
echo in_array('argon2id', password_algos(), true) ? "Argon2id доступен\n" : "Argon2id отсутствует\n";
echo defined('PASSWORD_ARGON2_PROVIDER') ? "Провайдер можно проверить\n" : "Нет Argon2-провайдера\n";

API доступно
Argon2id доступен
Провайдер можно проверить

Этот вывод проверен в PHP 8.5.11 с provider standard. На другой сборке он может отличаться: это диагностический результат, а не гарантия наличия Argon2 на любом PHP.

<?php
declare(strict_types=1);

if (!in_array('argon2id', password_algos(), true)) {
    throw new RuntimeException('Argon2id is required for this example');
}
$options = ['memory_cost' => 19456, 'time_cost' => 2, 'threads' => 1];
$hash = password_hash('demo passphrase for argon', PASSWORD_ARGON2ID, $options);
$info = password_get_info($hash);
echo $info['algoName'], "\n";
echo $info['options']['memory_cost'], '/', $info['options']['time_cost'], '/', $info['options']['threads'], "\n";
var_dump(password_verify('demo passphrase for argon', $hash));

argon2id
19456/2/1
bool(true)

19456 KiB =19 MiB. Это одна из текущих минимальных конфигураций OWASP для Argon2id, не подобранная автоматически настройка вашего сервера. Перед применением измерьте задержку и память при ожидаемом числе одновременных входов.

<?php
declare(strict_types=1);

$hash = password_hash('demo legacy phrase', PASSWORD_ARGON2I,
    ['memory_cost' => 8192, 'time_cost' => 3, 'threads' => 1]);
echo password_get_info($hash)['algoName'], "\n";
var_dump(password_verify('demo legacy phrase', $hash));
var_dump(password_needs_rehash($hash, PASSWORD_ARGON2ID,
    ['memory_cost' => 19456, 'time_cost' => 2, 'threads' => 1]));

argon2i
bool(true)
bool(true)

Пример создаёт облегчённую учебную запись для исследования миграции. Успешная verify позволяет предложить новый хеш исходного пароля. Сам needs_rehash не изменяет старую строку.

<?php
declare(strict_types=1);

$prefix = str_repeat('a', 72);
$hash = password_hash($prefix . 'X', PASSWORD_BCRYPT, ['cost' => 4]);
var_dump(password_verify($prefix . 'Y', $hash));
$cyrillic = str_repeat('я', 37);
echo strlen($cyrillic), "\n";

bool(true)
74

Первые 72 байта совпали, поэтому разные хвосты не участвуют в bcrypt. 37 русских букв здесь занимают 74 байта UTF-8. Для bcrypt требуется явный отказ при превышении допустимой длины, не молчаливое принятие с усечением.

<?php
declare(strict_types=1);

function bcryptInputFits(string $password): bool {
    return strlen($password) <= 72 && !str_contains($password, "\0");
}
var_dump(bcryptInputFits(' spaces remain part of password '));
var_dump(bcryptInputFits(str_repeat('я', 37)));
var_dump(bcryptInputFits("demo\0tail"));

bool(true)
bool(false)
bool(false)

Это только техническая проверка совместимости bcrypt, не достаточная политика пароля: она не оценивает минимум длины, популярность/компрометацию, пустую строку или риск аккаунта. У длинной парольной фразы лучше заранее выбрать подходящий алгоритм и ограничения сервиса.

<?php
declare(strict_types=1);

$memoryKiB = 65536;
$simultaneousHashes = 8;
$algorithmMemoryMiB = $memoryKiB * $simultaneousHashes / 1024;
echo $algorithmMemoryMiB, " MiB\n";

512 MiB

Это арифметическая оценка только основной памяти алгоритма. К ней добавляется PHP-процесс, библиотеки, БД-клиент и прочая работа. memory_limit не заменяет проверку реального потребления нативной библиотеки и ограничение одновременных запросов.

<?php
declare(strict_types=1);

$db = new PDO('sqlite::memory:');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->exec('CREATE TABLE users (id INTEGER PRIMARY KEY, password_hash TEXT NOT NULL)');
$hash = password_hash('demo database phrase', PASSWORD_BCRYPT, ['cost' => 4]);
$insert = $db->prepare('INSERT INTO users (id, password_hash) VALUES (?, ?)');
$insert->execute([1, $hash]);
$read = $db->prepare('SELECT password_hash FROM users WHERE id = ?');
$read->execute([1]);
$stored = $read->fetchColumn();
var_dump($stored === $hash);
var_dump(password_verify('demo database phrase', $stored));

bool(true)
bool(true)

Самостоятельный опыт использует SQLite только в памяти и вымышленный пароль. SQLiteTEXT не моделирует ограничение VARCHAR конкретного SQL-сервера; для production-схемы проверяйте реальный драйвер, тип и ошибки записи. Здесь показаны параметры запроса и сохранность строки.

<?php
declare(strict_types=1);

$db = new PDO('sqlite::memory:');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->exec('CREATE TABLE users (id INTEGER PRIMARY KEY, password_hash TEXT NOT NULL, revision INTEGER NOT NULL)');
$old = password_hash('old demo phrase', PASSWORD_BCRYPT, ['cost' => 4]);
$insert = $db->prepare('INSERT INTO users VALUES (1, ?, 1)');
$insert->execute([$old]);
$snapshot = $db->query('SELECT password_hash, revision FROM users WHERE id = 1')->fetch(PDO::FETCH_ASSOC);
if (!password_verify('old demo phrase', $snapshot['password_hash'])) {
    throw new RuntimeException('Fixture login failed');
}
$rehash = password_hash('old demo phrase', PASSWORD_BCRYPT, ['cost' => 5]);
// Имитируем завершившуюся в другом запросе смену пароля.
$reset = $db->prepare('UPDATE users SET password_hash = ?, revision = revision + 1 WHERE id = 1');
$reset->execute([password_hash('new demo phrase', PASSWORD_BCRYPT, ['cost' => 5])]);
$update = $db->prepare('UPDATE users SET password_hash = ?, revision = revision + 1 WHERE id = ? AND revision = ?');
$update->execute([$rehash, 1, $snapshot['revision']]);
echo $update->rowCount(), "\n";
$current = $db->query('SELECT password_hash FROM users WHERE id = 1')->fetchColumn();
var_dump(password_verify('new demo phrase', $current));
var_dump(password_verify('old demo phrase', $current));

0
bool(true)
bool(false)

Гонка воспроизведена детерминированной последовательностью операций в одной памяти, не нагрузочным тестом БД. Ноль строк — конфликт версии: нельзя продолжать выдачу сессии на предположении, что старый пароль всё ещё актуален. Повторите согласованную проверку текущего состояния или завершите вход по политике сервиса.

<?php
declare(strict_types=1);

$file = __DIR__ . '/account.json';
$algorithm = PASSWORD_BCRYPT;
$registerOptions = ['cost' => 4]; // Только быстрая локальная лаборатория.
$currentOptions = ['cost' => 5];  // Показываем обновление политики.

function saveAccount(string $file, array $account): void
{
    $json = json_encode($account, JSON_UNESCAPED_UNICODE | JSON_PRETTY_PRINT | JSON_THROW_ON_ERROR);
    if (file_put_contents($file, $json, LOCK_EX) !== strlen($json)) {
        throw new RuntimeException('Учётная запись не сохранена');
    }
}

function loadAccount(string $file): array
{
    $json = file_get_contents($file);
    if ($json === false) {
        throw new RuntimeException('Учётная запись недоступна');
    }
    return json_decode($json, true, 512, JSON_THROW_ON_ERROR);
}

$email = 'anna@example.test';
$firstPassword = 'Первый пароль 2026!';
$account = [
    'id' => 7,
    'email' => $email,
    'password_hash' => password_hash($firstPassword, $algorithm, $registerOptions),
    'session_version' => 1,
];
saveAccount($file, $account);
echo "Регистрация: сохранён хеш, исходного пароля в файле нет.\n";

$account = loadAccount($file);
echo password_verify('ошибка', $account['password_hash'])
    ? "Неверный пароль: вход разрешён.\n"
    : "Неверный пароль: вход запрещён.\n";

if (!password_verify($firstPassword, $account['password_hash'])) {
    throw new RuntimeException('Учебный вход неожиданно отклонён');
}
if (password_needs_rehash($account['password_hash'], $algorithm, $currentOptions)) {
    $account['password_hash'] = password_hash($firstPassword, $algorithm, $currentOptions);
    saveAccount($file, $account);
    echo "Вход: пароль подтверждён, политика хеша обновлена.\n";
}
$oldSession = ['user_id' => 7, 'session_version' => $account['session_version']];

$currentPassword = $firstPassword;
$newPassword = 'Новый пароль 2026!';
if (!password_verify($currentPassword, $account['password_hash'])) {
    throw new RuntimeException('Текущий пароль не подтверждён');
}
$account['password_hash'] = password_hash($newPassword, $algorithm, $currentOptions);
$account['session_version']++;
saveAccount($file, $account);
echo "Смена пароля: записан новый хеш, версия сессий стала 2.\n";

$account = loadAccount($file);
$oldSessionAllowed = $oldSession['session_version'] === $account['session_version'];
echo $oldSessionAllowed
    ? "Старая сессия: доступ разрешён.\n"
    : "Старая сессия: требуется новый вход.\n";
echo password_verify($firstPassword, $account['password_hash'])
    ? "Старый пароль: вход разрешён.\n"
    : "Старый пароль: вход запрещён.\n";
echo password_verify($newPassword, $account['password_hash'])
    ? "Новый пароль: вход разрешён.\n"
    : "Новый пароль: вход запрещён.\n";

unlink($file);

Регистрация: сохранён хеш, исходного пароля в файле нет.
Неверный пароль: вход запрещён.
Вход: пароль подтверждён, политика хеша обновлена.
Смена пароля: записан новый хеш, версия сессий стала 2.
Старая сессия: требуется новый вход.
Старый пароль: вход запрещён.
Новый пароль: вход разрешён.

Файл создаётся только в каталоге распакованного примера и удаляется в конце. Вывод не содержит пароль или строку хеша. Если запись/JSON повреждены, пример завершится исключением вместо разрешения входа.

<?php
declare(strict_types=1);

function requestPasswordReset(array &$jobs, string $email, int $now): string
{
    // HTTP-обработчик не ищет аккаунт и не отправляет письмо.
    // Он одинаково сохраняет задание для любого введённого адреса.
    $jobs[] = [
        'email' => strtolower(trim(substr($email, 0, 254))),
        'requested_at' => $now,
    ];
    return 'Если аккаунт существует, инструкция отправлена.';
}

function issueReset(array &$records, int $userId, int $now): string
{
    $selector = bin2hex(random_bytes(8));     // Открытый идентификатор записи.
    $validator = bin2hex(random_bytes(32));  // Секрет из письма.
    $records[$selector] = [
        'user_id' => $userId,
        'validator_hash' => hash('sha256', $validator),
        'expires_at' => $now + 900,
        'used_at' => null,
    ];
    return $selector . '.' . $validator;
}

function consumeReset(array &$records, string $presented, int $now): ?int
{
    $parts = explode('.', $presented, 2);
    if (count($parts) !== 2) {
        return null;
    }
    [$selector, $validator] = $parts;
    if (strlen($selector) !== 16 || strlen($validator) !== 64
        || !ctype_xdigit($selector) || !ctype_xdigit($validator)) {
        return null;
    }
    $record = $records[$selector] ?? null;
    if (!is_array($record) || $record['used_at'] !== null || $now >= $record['expires_at']) {
        return null;
    }
    $candidate = hash('sha256', $validator);
    if (!hash_equals($record['validator_hash'], $candidate)) {
        return null;
    }
    $records[$selector]['used_at'] = $now;
    return $record['user_id'];
}

function processResetJob(
    array &$records,
    array $usersByEmail,
    array $job,
    int $now
): ?string {
    // Этот worker работает после HTTP-ответа: его разное время клиент не измеряет.
    $email = filter_var($job['email'], FILTER_VALIDATE_EMAIL);
    $userId = is_string($email) ? ($usersByEmail[$email] ?? null) : null;
    return is_int($userId) ? issueReset($records, $userId, $now) : null;
}

$records = [];
$jobs = [];
$usersByEmail = ['anna@example.test' => 7];
$now = 1_000;
echo "Известный адрес: "
    . requestPasswordReset($jobs, 'anna@example.test', $now) . "\n";
echo "Неизвестный адрес: "
    . requestPasswordReset($jobs, 'nobody@example.test', $now) . "\n";
echo "HTTP-путь: оба запроса поставлены в очередь одинаково.\n";

$token = processResetJob($records, $usersByEmail, $jobs[0], $now);
$unknownToken = processResetJob($records, $usersByEmail, $jobs[1], $now);
echo is_string($token) && $unknownToken === null
    ? "Фоновый worker: письмо подготовлено только для существующего аккаунта.\n"
    : "Фоновый worker: ошибка примера.\n";

$wrong = substr($token, 0, -1) . (str_ends_with($token, 'a') ? 'b' : 'a');
echo consumeReset($records, $wrong, 1_010) === null
    ? "Изменённая ссылка: отказ.\n"
    : "Изменённая ссылка: принята.\n";

$userId = consumeReset($records, $token, 1_010);
echo $userId === 7
    ? "Первая правильная ссылка: можно задать новый пароль пользователю 7.\n"
    : "Первая правильная ссылка: отказ.\n";
echo consumeReset($records, $token, 1_011) === null
    ? "Повтор той же ссылки: отказ.\n"
    : "Повтор той же ссылки: принят.\n";

$expired = issueReset($records, 7, 2_000);
echo consumeReset($records, $expired, 2_900) === null
    ? "Ссылка через 900 секунд: срок истёк.\n"
    : "Ссылка через 900 секунд: принята.\n";

Известный адрес: Если аккаунт существует, инструкция отправлена.
Неизвестный адрес: Если аккаунт существует, инструкция отправлена.
HTTP-путь: оба запроса поставлены в очередь одинаково.
Фоновый worker: письмо подготовлено только для существующего аккаунта.
Изменённая ссылка: отказ.
Первая правильная ссылка: можно задать новый пароль пользователю 7.
Повтор той же ссылки: отказ.
Ссылка через 900 секунд: срок истёк.

Пример не отправляет письмо и не открывает сеть. Он фактически проверяет случайный секрет, хеш в записи, точную границу срока и одноразовость. В рабочем сервисе выдача и потребление токена выполняются в базе с уникальным selector и транзакцией.

<?php
declare(strict_types=1);

$stored = password_hash('correct demo phrase', PASSWORD_BCRYPT, ['cost' => 4]);
$before = $stored;
$input = 'wrong phrase';
if (password_verify($input, $stored)
    && password_needs_rehash($stored, PASSWORD_BCRYPT, ['cost' => 5])) {
    $stored = password_hash($input, PASSWORD_BCRYPT, ['cost' => 5]);
}
var_dump($stored === $before);
var_dump(password_verify('correct demo phrase', $stored));

bool(true)
bool(true)

Оператор&& не выполняет правую часть после false. В реальном сервисе сохранение меняетБД, поэтому дополняйте это проверкой числа обновлённых строк и отдельными тестами отказа БД/параллельности.