strcmp बनाम == बनाम === PHP में हैश समानता

Question

मैं PHP में हैश पासवर्ड के लिए crypt() का उपयोग कर रहा हूं, और पासवर्ड जांच करते समय परिणामी हैश की समानता का परीक्षण करने का सबसे सुरक्षित तरीका काम करने की कोशिश कर रहा हूं ।

तीन विकल्प है कि मैं देख सकता हूँ रहे हैं: - डबल बराबर

function checkPassword($hash, $password) 
{ 
    return crypt($password, $hash) == $hash; 
} 

विकल्प 2 -

विकल्प 1 ट्रिपल बराबर

function checkPassword($hash, $password) 
{ 
    return crypt($password, $hash) === $hash; 
} 

विकल्प 3 - strcmp()

function checkPassword($hash, $password) 
{ 
    return strcmp(crypt($password, $hash), $hash) === 0; 
} 

मेरा अंतर्ज्ञान मुझे बताता है कि विकल्प 1 टाइपिंग जांच की कमी के कारण एक बुरा विचार है, और विकल्प 2 या 3 बेहतर होने की संभावना है। हालांकि, अगर कोई विशिष्ट मामला है तो === या strcmp विफल होने पर मैं काम नहीं कर सकता। इस उद्देश्य के लिए सबसे सुरक्षित कौन सा है?

Answer 1

जब सुरक्षा की बात आती है तो मैं === ऑपरेटर का उपयोग करना पसंद करता हूं। === सुनिश्चित करता है कि दो ऑपरेंड बिल्कुल समान हैं, कुछ सफलताओं तक पहुंचने के लिए तुलना में "सहायता" करने के लिए कुछ कास्टिंग को समायोजित करने की कोशिश किए बिना - क्योंकि यह एक ढीली टाइप की गई भाषा, जैसे कि PHP की तरह विकसित करने में मदद कर सकता है।

बेशक, ऑपरेंड में से एक को भरोसा किया जाना है। डेटाबेस से एक हैश भरोसेमंद है, जबकि उपयोगकर्ता इनपुट नहीं है।

कोई हमेशा थोड़ी देर के लिए यहां जा सकता है, निष्कर्ष पर आ रहा है कि किसी विशिष्ट मामले में == का उपयोग करने का कोई जोखिम नहीं है। शायद। लेकिन उदाहरण के लिए

"0afd9f7b678fdefca" == 0 is true 
    "aafd9f7b678fdefca" == 0 is also true 

पीएचपी एक संख्या में "हैश" कन्वर्ट करने के लिए कोशिश करता है जो 0. देता है जबकि यह संभव नहीं दिखता crypt रिटर्न 0 है (शायद atoi का प्रयोग करके), मैं ऐसे मामलों में जहां अधिकतम करने के लिए पसंद करते हैं === का उपयोग करके पासवर्ड == का उपयोग करके नहीं सोचने वाले दुर्लभ मामले की अनुमति देने से मेल नहीं खाते हैं (और एक समर्थन कॉल का जवाब देते हैं)।

strcmp के लिए, फ़ंक्शन <0 या >0 अलग-अलग होता है, और 0 बराबर होता है। लेकिन

strcmp("3", 0003) returns 0 
    strcmp("0003", 0003) returns -3 

जो बाद में आश्चर्यजनक नहीं हैं।एक शाब्दिक 0003 वास्तव में एक पूर्णांक है, 3 और strcmp एक स्ट्रिंग की अपेक्षा करता है, 3 को "3" में परिवर्तित कर दिया जाएगा। लेकिन इससे पता चलता है कि इस मामले में कुछ रूपांतरण हो सकता है, क्योंकि strcmp एक फ़ंक्शन है, जबकि === भाषा का हिस्सा है।

तो उस मामले में मेरी प्राथमिकता === पर जाती है (जो कि == से भी तेज है)।

Answer 2

मुझे लगता है कि == का उपयोग आपके मामले में पर्याप्त होगा।

== प्रकार की परवाह किए बिना समानता के लिए जांच करता है, जबकि === समानता के साथ-साथ प्रकार के लिए जांच करता है।

1 == "1" = सच

1 === "1" = झूठी

जब से हम प्रकार के साथ नहीं भी चिंतित हैं, मैं इसे सरल रखने के लिए और == साथ जाना चाहते हैं।

Answer 3

यह गलत है, कृपया फ़ंक्शन की परिभाषा देखें। पीएचपी के अनुसार:

Returns < 0 if str1 is less than str2;

> 0 if str1 is greater than str2,

and 0 if they are equal

यह 0 से कम लौटाता है यदि str1 str2 से कम है। "कम से कम" वाक्यांश को नोट करें, यह केवल -1 नहीं लौटाता है, लेकिन कोई नकारात्मक मान। ऐसा तब होता है जब str1 str2 से अधिक होता है, लेकिन यह एक सकारात्मक, शून्य-शून्य मान देता है। यह एक सकारात्मक मूल्य देता है जो 1, या उसके बाद किसी भी संख्या हो सकता है।

strcmp() एक संख्या देता है जो कि पिछले चरित्र के साथ शुरू होने वाले दो तारों के बीच अंतर है।

यहाँ एक उदाहरण है:

$output = strcmp("red", "blue");

चर $ उत्पादन 16

Answer 4

के मान के साथ आप hash_equals() फ़ंक्शन है कि PHP में बनाया गया है का उपयोग करना चाहिए। अपना काम करने की कोई ज़रूरत नहीं होगी। हैश_equals() एक बूलियन मान वापस करेगा।

मेरी राय में आमतौर पर तारों की तुलना करने के लिए == या === का उपयोग करने का अच्छा विचार नहीं है, केवल स्ट्रिंग को छोड़ दें।