FOSUserBundle BCryptPasswordEncoder 加盐

Question

升级到 php7 后，BCryptPasswordEncoder 抛出以下错误，例如在使用 FOSUserBundle 标准注册页面注册时：

"Use of the 'salt' option to password_hash is deprecated in C:\xampp\htdocs\ascentary \vendor\symfony\symfony\src\Symfony\Component\Security\Core\Encoder\BCryptPasswordEncoder.php line 81 " at C:\xampp\htdocs\testproject\vendor\behat\behat\src\Behat\Testwork\Call\Handler\RuntimeCallHandler."

我已经找到这个问题，问题是 FOS UserManager class，它调用：

/**
 * {@inheritDoc}
 */
public function updatePassword(UserInterface $user)
{
    if (0 !== strlen($password = $user->getPlainPassword())) {
        $encoder = $this->getEncoder($user);
        $user->setPassword($encoder->encodePassword($password, $user->getSalt()));
        $user->eraseCredentials();
    }
}

在此处传递 $user->getSalt() 会引发错误，因为在 php7，您不再被允许将自定义盐传递给 bcrypt 编码/password_hash 函数。此外，我在基本 fos 用户实体中看到一个问题，因为在其构造函数中，salt 设置如下：

$this->salt = base_convert(sha1(uniqid(mt_rand(), true)), 16, 36);

问题：

(1) 如何解决我在上面发布的错误？也许重写UserManager，或者有fos提供的解决方案吗？

(2) 如何正确保护自动生成的盐？

(3) 是否需要任何其他更新，例如更新 ircmaxell 库？

Answer 1

升级到 Symfony 3。

BCryptPasswordEncoder.php 第 75 行：

if ($salt) {
    // Ignore $salt, the auto-generated one is always the best
}

Answer 2

您可以通过覆盖 FOS\UserBundle\Model\User

将 $salt 属性设置为空

namespace YourNamespace\UserBundle\Entity;

use FOS\UserBundle\Model\User as BaseUser;
use Doctrine\ORM\Mapping as ORM;

/**
 * @ORM\Entity(repositoryClass="YourNamespace\UserBundle\Repository\UserRepository")
 * @ORM\Table(name="`user`")
 * @ORM\AttributeOverrides({
            @ORM\AttributeOverride(
 *              name="salt",
 *              column=@ORM\Column(name="salt", type="string", nullable=true)
 *          )
 *     })
 *
 */
class User extends BaseUser
{

    /**
     * User constructor.
     */
    public function __construct()
    {
        parent::__construct();
        $this->salt = null;
    }

    //another codes
}

FOSUserBundle BCryptPasswordEncoder 加盐

FOSUserBundle BCryptPasswordEncoder salting

php

symfony

fosuserbundle

bcrypt

password-hash