Porque o salt
deve ser único para cada senha, permitir definir um salt
poderia fazer com que definisse um salt
constante.
Por exemplo:
password_hash('senha_legal', PASSWORD_DEFAULT, ['salt' => '1234567891234567891234']);
Dessa forma todas as senhas utilizariam 1234567891234567891234
, todas as senhas iriam sair da seguinte forma:
$2y$10$123456789123456789123u2l31KVtAAQPjgDEYorAjG5V8p9MWDx2
$2y$10$123456789123456789123uOlCRXcGHP2s7.4hwA7pLsVlmqL3pmLq
$2y$10$123456789123456789123uN0gdQ.iBssxH4MxYvSqqYkSgAKQuL9S
O uso do salt
faz com que um senha comum se torne incomum, por isso se um usuário cadastrar com a mesma senha, usando o mesmo salt iria resultar:
$2y$10$123456789123456789123uN0gdQ.iBssxH4MxYvSqqYkSgAKQuL9S
Não importa quantas vezes você fizer um php -r "echo password_hash('senha_legal', PASSWORD_DEFAULT, ['salt' => '1234567891234567891234']);"
o resultado sempre será esse, independe de onde, do tempo ou do servidor.
Um atacante irá ter a senha de dois usuários, porque todos os usuários que usarem a senha senha_legal
terá o mesmo resultado, além disso ele poderá ter a capacidade de gerar várias senhas utilizando o mesmo salt
e assim verificar se as senhas coincidem diretamente.
Exemplos usados:
123 => $2y$10$123456789123456789123u2l31KVtAAQPjgDEYorAjG5V8p9MWDx2
teste => $2y$10$123456789123456789123uOlCRXcGHP2s7.4hwA7pLsVlmqL3pmLq
senha_legal => $2y$10$123456789123456789123uN0gdQ.iBssxH4MxYvSqqYkSgAKQuL9S
O que faz as senhas serem diferentes é o salt
aplicado a ela, e como pode perceber o salt
está presente no código acima, pela constante de 123456789123456789123
, com o $10
indicando sua dificuldade.
addslashes
pra sanitizar MySQL, imagine o resto...