password_verify如何在不知道盐和成本的情况下验证密码？

Question

新PHP密码API中的函数password_verify()检查密码是否与哈希对应。哈希由password_hash()生成，默认情况下使用随机盐和cost = 10。

我一直认为（虽然我从未研究过它）你必须将盐存储在数据库中，然后当你想验证密码时，使用相同的成本用给定的盐哈希。 password_verify()如何在不知道盐和费用的情况下检查密码？

Answer 1

password_hash()返回的字符串不仅包含哈希值，还包含算法，成本和盐。