Сконфигурируйте новый хешировщик, используя "migrate_from"

Когда становится доступным улучшенный алгоритм хеширования, вам нужно оставить существующий(ие) хешировщик(и), переименовать его, а затем определить новый. Установите опцию migrate_from в новом хешировщике, чтобы указать ему на старый(е), наследумый(е) хешировщик(и):

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

# config/packages/security.yaml
security:
    # ...

    password_hashers:
        # хешировщик, используемый ранее для некоторых пользователей
        legacy:
            algorithm: sha256
            encode_as_base64: false
            iterations: 1

        App\Entity\User:
            # новый хешировщик, вместе с его опциями
            algorithm: sodium
            migrate_from:
                - bcrypt # использует хешировщик "bcrypt" с опциями по умолчанию
                - legacy # использует хешировщик "legacy", сконфигурированный выше

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

<!-- config/packages/security.xml -->
<?xml version="1.0" encoding="UTF-8" ?>
<container xmlns="http://symfony.com/schema/dic/services"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xmlns:security="http://symfony.com/schema/dic/security"
    xsi:schemaLocation="http://symfony.com/schema/dic/security
        https://symfony.com/schema/dic/security/security-1.0.xsd
        http://symfony.com/schema/dic/security
        https://symfony.com/schema/dic/security/security-1.0.xsd">

    <security:config>
        <!-- ... -->

        <security:password-hasher class="legacy"
            algorithm="sha256"
            encode-as-base64="false"
            iterations="1"
        />

        <!-- algorithm: новый хешировщик, вместе с его опциями -->
        <security:password-hasher class="App\Entity\User"
            algorithm="sodium"
        >
            <!-- использует хешировщик bcrypt с опциями по умолчанию -->
            <security:migrate-from>bcrypt</security:migrate-from>

            <!-- использует хешировщик legacy, сконфигурированный выше -->
            <security:migrate-from>legacy</security:migrate-from>
        </security:password-hasher>
    </security:config>
</container>

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

// config/packages/security.php
use Symfony\Config\SecurityConfig;

return static function (SecurityConfig $security) {
    // ...
    $security->passwordHasher('legacy')
        ->algorithm('sha256')
        ->encodeAsBase64(true)
        ->iterations(1)
    ;

    $security->passwordHasher('App\Entity\User')
        // новый хешировщик, вместе с его опциями
        ->algorithm('sodium')
        ->migrateFrom([
            'bcrypt', // использует хешировщик "bcrypt" с опциями по умолчанию
            'legacy', // использует хешировщик "legacy", сконфигурированный выше
        ])
    ;
};

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

// ...
$passwordHasherFactory = new PasswordHasherFactory([
    'legacy' => [
        'algorithm' => 'sha256',
        'encode_as_base64' => true,
        'iterations' => 1,
    ],

    User::class => [
        // новый хешировщик, вместе с его опциями
        'algorithm' => 'sodium',
        'migrate_from' => [
            'bcrypt', // использует хешировщик "bcrypt" с опциями по умолчанию
            'legacy', // использует хешировщик "legacy", сконфигурированный выше
        ],
    ],
]);

С такой настройкой:

• Новые пользователи будут хешированы с использованием нового алгоритма;
• Когда в систему войдет пользователь, чей пароль все еще сохранен с помощью старого алгоритма, Symfony верифицирует пароль со старым алгоритмом, а затем обновит пароль, используя новый алгоритм.

Обновите пароль

После удачного входа в систему, система Безопасности проверяет, доступен ли улучшенный алгоритм для хеширования пароля пользователя. Если доступен, она хеширует правильный пароль, используя новый хеш. При использовании пользовательского аутентификатора, вы должны использовать PasswordCredentials в паспорте безопасности .

Вы можете включить поведение обновления пароля, реализовав, как этот новохешированный пароль должен быть сохранен:

• При использовании сущности поставщика пользователей Doctrine
• При использовании пользовательского поставщика пользователей

После этого, вы закончили, и пароли всегда будут хешированы максимально безопасно!

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

// src/Repository/UserRepository.php
namespace App\Repository;

// ...
use Symfony\Component\Security\Core\User\PasswordUpgraderInterface;

class UserRepository extends EntityRepository implements PasswordUpgraderInterface
{
    // ...

    public function upgradePassword(UserInterface $user, string $newHashedPassword): void
    {
        // установить новый хешированный пароль в объекте User
        $user->setPassword($newHashedPassword);

        // выполнить запросы в базе данных
        $this->getEntityManager()->flush();
    }
}

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

// src/Security/UserProvider.php
namespace App\Security;

// ...
use Symfony\Component\Security\Core\User\PasswordUpgraderInterface;

class UserProvider implements UserProviderInterface, PasswordUpgraderInterface
{
    // ...

    public function upgradePassword(UserInterface $user, string $newHashedPassword): void
    {
        // установить новый хешированный пароль в объекте User
        $user->setPassword($newHashedPassword);

        // ... сохранить новый пароль
    }
}

Запустите миграцию паролей из пользовательского хешировщика

Если вы используете пользовательский хешироващик паролей, вы можете запустить миграцию паролей, вернув true в методе needsRehash():

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

// src/Security/CustomPasswordHasher.php
namespace App\Security;

// ...
use Symfony\Component\PasswordHasher\Hasher\UserPasswordHasherInterface;

class CustomPasswordHasher implements UserPasswordHasherInterface
{
    // ...

    public function needsRehash(string $hashed): bool
    {
        // проверить, хеширован ли текущий пароль с использованием устаревшего хешировщика
        $hashIsOutdated = ...;

        return $hashIsOutdated;
    }
}

Хешировщик "auto"

Автоматически выбирает лучший доступный хешировщик. Начиная с Symfony 5.3, он использует хешировщик Bcrypt. Если PHP или Symfony в будущем добавит новые хешировщики паролей, он может выбирать другой хешировщик.

Из-за этого, длина хешированных паролей может измениться в будущем, поэтому убедитесь в том, что оставили достаточно места для их сохранения (varchar(255) должно быть хорошей настройкой).

Хешировщик паролей Bcrypt

Производит хешированные пароли с функцией хеширования паролей bcrypt. Хешированные пароли имеет 60 символов, поэтому убедитесь в том, что оставили достаточно места для их сохранения. Также, пароли включают в себя криптографическую соль (которая генерируется автоматически для каждого нового пароля), чтобы вам не нужно было с этим разбираться.

Единственная опция конфигурации - cost, которая является целым числом в диапазоне 4-31 (по умолчанию, 13). Каждый шаг стоимости удваивает время, необходимое для хеширования пароля. Это сделано для того, чтобы сила пароля могла быть адаптирована к последующим улучшениям в мощности вычисления.

Вы можете изменить стоимость в любое время - даже если у вас уже есть пароли, хешированные с использованием другой стоимости. Новые пароли будут хешированы с использованием новой стоимости, в то время, как уже хешированные пароли будут валидированы, используя стоимость, которая была использована во время их хеширования.

Хешировщик паролей Sodium

Использует функцию формирования ключа Argon2. Поддержка Argon2 была представлена в PHP 7.2 путем создания пакета расширения libsodium.

Хешированные пароли имеют длину 96 символов, но в связи с требованиями хеширования, сохраненными в результирующем хеше, это может измениться в будущем, так что убедитесь в том, что оставили достаточно места для их сохранения. Также, пароли включают в себя криптографическую соль (которая генерируется автоматически для каждого нового пароля), чтобы вам не нужно было с этим разбираться.

Хешировщик PBKDF2

Использование хешировщика PBKDF2 больше не рекомендуется с тех пор, как PHP добавил поддержку Sodium и BCrypt. Наследуемые приложения, все еще использующие его, рекомендуется обновить до более новых алгоритмов хеширования.