用戶密碼驗證與他最近在Drupal6中的密碼歷史記錄

Question

當用戶更改他的密碼或管理員更改任何用戶密碼時，它不應該與他的最後3個密碼相同。 如何進行驗證？我已經安裝了password_policy模塊。但它沒有正確驗證這個約束。 任何人都可以告訴我如何實現這一目標？我也安裝了phpass模塊，是否對這個模塊有影響？ 請幫我解決這個問題。

Answer 1

按照Password policy模塊頁面，它說，它支持：

歷史約束（檢查散列密碼對用戶的集合之前的散列密碼找最近的一式兩份）

所以我第一個傾向是phpass可能會影響這一點。是否可以禁用phpass模塊來測試此並確認？

實際上，根據Secure Password Hashes模塊頁面，它使用不同的算法來存儲用戶的密碼。由於Password policy將密碼的歷史記錄存儲爲md5散列（在Drupal 6中），如果phpass沒有考慮到這一點，則可能會導致問題。

看看這個相關phpass module issue。您還可以檢查password_policy_history表，並查看給定用戶的密碼哈希歷史記錄是否與由phpass創建的同一用戶的當前密碼哈希值匹配。