Миграция пароля — Drupal SHA2 в версию PHP MD5

Вы действительно не хотите переходить на MD5. Что касается метода хеширования паролей, он мертв. Вы должны перейти к password_hash и что-то как Bcrypt на абсолютном минимуме.

Помните, когда кто-то входит в систему, и вы проверяете правильность его пароля, это ваш шанс обновить способ хеширования пароля в базе данных. Если они используют слабый метод, переключитесь на надежный и сохраните свою запись пользователя. Никто не узнает, что ты сделал.

Через год или около того вы всегда можете принудительно истечь срок действия всех паролей старого формата, если вас беспокоит эта затянувшаяся ответственность. Все ваши активные пользователи не будут затронуты.

Я бы не советовал переходить на другой формат пароля и особенно на MD5. Поскольку у вас уже есть пароли, вы можете реализовать хеширование паролей Drupal в своем собственном приложении и просто продолжать использовать существующие пароли.

Дополнительную информацию о форматах паролей можно найти, например, в этом вопросе .

Я думаю, вы должны использовать «переход». Например, используйте новую систему, но оставьте старый пароль в базе данных.

В вашем коде при входе пользователя вы получаете пароль (например: $_POST['pwd']) и шифруете его с помощью алгоритма strong (не MD5). Затем вы можете вставить его в новое поле вашей базы данных.

Таким образом, ваша новая база данных может иметь поле «old_pwd», содержащее старый пароль, и поле «pwd», содержащее новый пароль с использованием вашего нового алгоритма. По моему мнению, это самый простой способ миграции.

Код проверки пароля очень похож на Drupal 7 и 8 и его легко заимствовать, он не имеет сильной зависимости от компонента Drupal. Должно быть довольно легко добавить поддержку хэшей Drupal в ваш код проверки пароля. Разрешить пользователям проходить аутентификацию с использованием своего пароля, сохраняя хэши Drupal в вашей базе данных.

Чтобы перейти на новый алгоритм хеширования, просто повторно хешируйте пароли при успешной аутентификации. Таким образом, старые хэши со временем будут заменены.

Drupal имеет аналогичный механизм для обеспечения прозрачных обновлений или старых хэшей MD5. Посмотрите на user_check_password() и user_needs_new_hash(), чтобы увидеть, как это может быть сделано.