Функция cot_hash в Cotonti

Общее описание: Функция cot_hash используется для хэширования переданных данных с учетом соли и алгоритма хэширования. Она использует глобальную переменную $cot_hash_funcs, которая содержит список зарегистрированных алгоритмов, а также добавляет дополнительную соль для улучшения безопасности.

Участок кода:

 
function cot_hash($data, $salt = '', $algo = 'sha256')
{
    global $cfg, $cot_hash_funcs;
    if (isset($cfg['hashsalt']) && !empty($cfg['hashsalt']))
    {
        // Extra salt for extremely secure sites
        $salt .= $cfg['hashsalt'];
    }
    $func = (in_array($algo, $cot_hash_funcs) && function_exists('cot_hash_' . $algo)) ? 'cot_hash_' . $algo : 'cot_hash_sha256';
    return $func($data, $salt);
}

Комментарии и пояснения:

Глобальные переменные:

$cfg: глобальная переменная, которая содержит конфигурацию сайта. В частности, нас интересует параметр hashsalt, если он задан.
$cot_hash_funcs: глобальная переменная, которая содержит список поддерживаемых алгоритмов хэширования. Это массив, в котором перечислены допустимые алгоритмы.

Основной блок хэширования:

1. Функция принимает три параметра:

$data: данные, которые нужно захешировать.
$salt: дополнительная соль для хэширования (по умолчанию пусто).
$algo: алгоритм хэширования (по умолчанию 'sha256').

2. Внутри функции проверяется, существует ли дополнительная соль в конфигурации сайта ($cfg['hashsalt']).

Если она есть, она добавляется к уже существующей соли:
 
if (isset($cfg['hashsalt']) && !empty($cfg['hashsalt']))
{
    // Extra salt for extremely secure sites
    $salt .= $cfg['hashsalt'];
}

Это улучшает безопасность, добавляя дополнительную случайную строку (например, из конфигурации сайта), которая делает хэширование более защищенным.

Выбор функции хэширования:
3. Далее выбирается, какая функция хэширования будет использована:

 
$func = (in_array($algo, $cot_hash_funcs) && function_exists('cot_hash_' . $algo)) ? 'cot_hash_' . $algo : 'cot_hash_sha256';
Если алгоритм $algo присутствует в массиве $cot_hash_funcs и существует функция, начинающаяся с cot_hash_, то она используется.
В противном случае будет использована стандартная функция cot_hash_sha256, которая, скорее всего, реализует хэширование с использованием алгоритма sha256.

Возврат хэша:
4. В конце вызывается соответствующая функция для хэширования с переданными данными и солью:

 
return $func($data, $salt);
Это позволяет гибко управлять хэшированием, поддерживая разные алгоритмы в зависимости от конфигурации.

Итог: Функция cot_hash предоставляет гибкий механизм хэширования, который использует как заданную соль, так и дополнительную соль из конфигурации сайта. Алгоритм хэширования можно настроить через параметр $algo, при этом добавлена поддержка различных алгоритмов через систему функций, зарегистрированных в $cot_hash_funcs.

 

Разберем условие и роль функции cot_hash в таком контексте на реальном примере:

if ($sql->rowCount() == 1) {
    $hash_params = $sql->fetch();
    $rmdpass = cot_hash($rpassword, $hash_params['user_passsalt'], $hash_params['user_passfunc']);
    unset($hash_params);
}

1. Общее описание условий:
Этот код проверяет, был ли найден ровно один результат в запросе к базе данных (через $sql->rowCount()), а затем извлекает параметры для хэширования пароля и вызывает функцию cot_hash для хэширования введенного пароля пользователя с использованием соли и алгоритма, полученных из базы данных.

2. Участок кода:

if ($sql->rowCount() == 1) {
    $hash_params = $sql->fetch();
    $rmdpass = cot_hash($rpassword, $hash_params['user_passsalt'], $hash_params['user_passfunc']);
    unset($hash_params);
}

3. Комментарии и пояснения:

Условие проверки результата запроса:
 
if ($sql->rowCount() == 1)

Эта строка проверяет, вернул ли запрос к базе данных ровно один результат. Метод rowCount() возвращает количество строк, которые были получены в результате выполнения SQL-запроса. Если результат один, это может означать, что пользователь с таким именем или идентификатором найден в базе данных.
Извлечение параметров для хэширования:
 
$hash_params = $sql->fetch();

Если условие прошло, то из результата запроса извлекаются параметры, которые будут использованы для хэширования. Метод fetch() возвращает одну строку данных из результата запроса в виде ассоциативного массива. В данном случае, из массива данных извлекаются параметры для хэширования:
user_passsalt — соль для пароля.
user_passfunc — алгоритм хэширования, использованный для хранения пароля.
Хэширование пароля с использованием cot_hash:
 
$rmdpass = cot_hash($rpassword, $hash_params['user_passsalt'], $hash_params['user_passfunc']);

Здесь вызывается функция cot_hash, которая выполняет хэширование пароля, введенного пользователем. Аргументы для этой функции:

$rpassword — это сам введенный пользователем пароль.
$hash_params['user_passsalt'] — соль, которая была извлечена из базы данных. Это дополнительное значение, которое добавляется к паролю перед хэшированием для повышения безопасности.
$hash_params['user_passfunc'] — алгоритм хэширования, который был использован для создания пароля в базе данных. В зависимости от этого алгоритма, функция cot_hash может вызвать соответствующую функцию для хэширования.
Таким образом, функция cot_hash создает хэшированный пароль, который будет сравниваться с хэшем в базе данных при аутентификации.

Удаление переменной с параметрами хэширования:
 
unset($hash_params);

После того как данные для хэширования больше не нужны, вызывается функция unset(), чтобы удалить переменную $hash_params и освободить память.

4. Роль функции cot_hash в этом коде:
Функция cot_hash в этом контексте выполняет важную роль: она защищает пароли пользователей, создавая их хэшированную версию с учетом соли и выбранного алгоритма хэширования. Это позволяет безопасно сравнивать введенные пароли с теми, что хранятся в базе данных, не сохраняя сами пароли в явном виде.