Reihenfolge beim Überprüfen neuer Passwörter

[Rolf B]

Hallo vapita,

du bekommst als POST oder GET Parameter immer nur Strings. Das musst Du also nicht wirklich prüfen. Prüfen könntest Du, ob die Parameter gefüllt oder leer waren (mit empty($_POST['...']).

Danach vergleichst Du. Das spart Zeit und Strom, denn wenn Du vor dem Vergleich hashen willst, musst Du zweimal hashen. Wenn Du zuerst vergleichst, nur einmal.

Vom Ergebnis her ist es aber egal, denn die Arbeitshypothese beim Hashen ist ja, dass der Raum der möglichen Hashes so gigantisch ist, dass es keine unterschiedlichen User-Passworte gibt, die zum gleichen Hash führen. Und wenn doch, dann ist die Chance dafür astronomisch - äh - atomisch klein.

Edit: Dieser Absatz würde nur gelten, wenn man nicht salzt. Aber password_hash streut Zufallssalz ein und liefert damit für gleiche Passwörter unterschiedliches Hashes. Thanks@tk.

Rolf