Hachage de mot de passe
***********************

.[perex]
Pour gérer la sécurité de nos utilisateurs, nous ne stockons jamais leurs mots de passe en clair, nous stockons plutôt le hachage du mot de passe. Le hachage n'est pas une opération réversible, le mot de passe ne peut pas être récupéré. Le mot de passe peut cependant être craqué et pour rendre le craquage aussi difficile que possible, nous devons utiliser un algorithme sécurisé. La classe [api:Nette\Security\Passwords] nous aidera à le faire.

→ [Installation et configuration requise |@home#Installation]

Le framework ajoute automatiquement un service `Nette\Security\Passwords` au conteneur DI sous le nom `security.passwords`, que vous obtenez en le passant en utilisant l'[injection de dépendance |dependency-injection:passing-dependencies]:

```php
use Nette\Security\Passwords;

class Foo
{
	public function __construct(
		private Passwords $passwords,
	) {
	}
}
```


__construct($algo=PASSWORD_DEFAULT, array $options=[]): string .[method]
========================================================================

Choisit l'[algorithme sécurisé |https://www.php.net/manual/en/password.constants.php] utilisé pour le hachage et comment le configurer.

La valeur par défaut est `PASSWORD_DEFAULT`, donc le choix de l'algorithme est laissé à PHP. L'algorithme peut changer dans les nouvelles versions de PHP lorsque de nouveaux algorithmes de hachage plus puissants sont supportés. Vous devez donc être conscient que la longueur du hachage résultant peut changer. Vous devez donc stocker le hachage résultant de manière à pouvoir stocker suffisamment de caractères, 255 étant la largeur recommandée.

Voici comment utiliser l'algorithme bcrypt et modifier la vitesse de hachage en utilisant le paramètre cost à partir de la valeur par défaut de 10. En 2020, avec le coût 10, le hachage d'un mot de passe prend environ 80 ms, le coût 11 prend 160 ms, le coût 12 320 ms, l'échelle étant logarithmique. Plus c'est lent, mieux c'est, le coût 10-12 est considéré comme suffisamment lent pour la plupart des cas d'utilisation :

```php
// nous allons hacher les mots de passe avec 2^12 (2^cost) itérations de l'algorithme bcrypt
$passwords = new Passwords(PASSWORD_BCRYPT, ['cost' => 12]);
```

Avec l'injection de dépendances :
```neon
services:
	security.passwords: Nette\Security\Passwords(::PASSWORD_BCRYPT, [cost: 12])
```


hash(string $passwords): string .[method]
=========================================

Génère le hachage du mot de passe.

```php
$res = $passwords->hash($password); // Hache le mot de passe
```

Le résultat `$res` est une chaîne de caractères qui, en plus du hachage lui-même, contient l'identifiant de l'algorithme utilisé, ses paramètres et le sel cryptographique (données aléatoires permettant de s'assurer qu'un hachage différent est généré pour le même mot de passe). Il est donc rétrocompatible, par exemple, si vous modifiez les paramètres, les hachages stockés à l'aide des réglages précédents peuvent être vérifiés. L'ensemble du résultat est stocké dans la base de données, il n'est donc pas nécessaire de stocker le sel ou les paramètres séparément.


verify(string $password, string $hash): bool .[method]
======================================================

Détermine si le mot de passe donné correspond au hachage donné. Obtenez le `$hash` de la base de données par nom d'utilisateur ou adresse e-mail.

```php
if ($passwords->verify($password, $hash)) {
	// Mot de passe correct
}
```


needsRehash(string $hash): bool .[method]
=========================================

Vérifie si le hachage correspond aux options données dans le constructeur.

Utilisez cette méthode lorsque vous modifiez par exemple les paramètres de hachage. La vérification du mot de passe utilisera les paramètres stockés avec le hachage et si `needsRehash()` retourne vrai, vous devez calculer à nouveau le hachage, cette fois avec les paramètres mis à jour, et le stocker à nouveau dans la base de données. Cela garantit que les hachages de mots de passe seront automatiquement "mis à jour" lorsque les utilisateurs se connecteront.

```php
if ($passwords->needsRehash($hash)) {
	$hash = $passwords->hash($password);
	// stocke $hash dans la base de données
}
```