Antes de mais nada, recomendo leitura desta pergunta:
Como fazer hash de senhas de forma segura?
Seguem dois exemplos de password_hash
usando mysqli
e bind_param
, dispensando a necessidade de se fazer qualquer tipo de escape manualmente.
O bind param
já faz o escape dos valores automaticamente:
Exemplo de armazenagem de senha com password_hash:
$mysqli = new mysqli( 'enderecodoservidor', 'usuario', 'senha', 'basededados' );
$usuario = $_POST['usuario'];
$hash = password_hash( $_POST['senha'], PASSWORD_DEFAULT );
$query = 'INSERT INTO usuarios ( nome, hash) VALUES ( ?, ? )';
$stmt = $mysqli->prepare( $query );
$stmt->bind_param("ss", $usuario, $hash );
$stmt->execute();
Exemplo de atualização de senha com password_hash:
$mysqli = new mysqli( 'enderecodoservidor', 'usuario', 'senha', 'basededados' );
$usuario = $_session['usuario']; // ou idusuario, depende como voce mantem o login
$hash = password_hash( $_POST['novaSenha'], PASSWORD_DEFAULT );
$query = 'UPDATE usuarios SET hash= ? WHERE nome = ? '; // ou WHERE id = ?
$stmt = $mysqli->prepare( $query );
$stmt->bind_param("ss", $hash , $usuario ); // ou ("si", $hash, $idUsuario)
$stmt->execute();
Exemplo de verificação de senha com password_hash:
$mysqli = new mysqli( 'enderecodoservidor', 'usuario', 'senha', 'basededados' );
$usuario = $_POST['usuario'];
$idUsuario = 0; // Isso se trabalhar com ID numérico, o que pode ser interessante
$query = 'SELECT id, hash FROM usuarios WHERE nome = ?';
$stmt = $mysqli->prepare( $query );
$stmt->bind_param("s", $usuario );
$stmt->execute();
$stmt->bind_result( $idUsuario, $hash ); // aqui tem que bater com os campos do select
$stmt->fetch();
if ( password_verify( $_POST['senha'], $hash ) ) {
echo 'Logado';
} else {
echo 'Usuario e/ou senha invalidos';
}
Deixe um campo varchar() largo o suficiente para o hash da senha, para não correr risco de truncar os dados.
Veja nesse post como atualizar o hash das senhas automaticamente com novas versões do PHP:
https://pt.stackoverflow.com/a/147319/70