使用了 md5() 或 sha1()

严重程度: 中 CWE-916 OWASP A02:2021 Cryptographic Failures rule: weak_hash

为什么危险

md5 和 sha1 计算很快，泄露的密码哈希可以每秒数十亿次地被破解。password_hash() 刻意设计得很慢并自带盐值。

✕ 有漏洞的写法

$hash = md5($password);

✓ 安全的写法

$hash = password_hash($password, PASSWORD_DEFAULT);

// at login
if (password_verify($input, $hash)) {
    // signed in
}

可用于校验和，绝不可用于密码。请使用 password_hash() 和 password_verify()。

扫描我的代码

粘贴文件，PHP Safe 会指出所有符合此规则的代码行。