php - password_verify 如何在不知道盐和成本的情况下验证密码？

Question

新的 PHP 密码 API 中的函数password_verify()检查密码是否与哈希相对应。哈希由password_hash()生成，默认情况下使用随机盐和cost = 10.

我一直认为（尽管我从未研究过）您必须将盐存储在数据库中，然后当您想要验证密码时，使用给定的盐使用相同的成本对其进行哈希处理。如何password_verify()在不知道盐和成本的情况下查看密码？

Answer 1

返回的字符串password_hash()不仅包含哈希，还包含算法、成本和盐。