echo crc32('supersecretpassword');
// outputs: 323322056
echo crc32('MTIxMjY5MTAwNg==');
// outputs: 323322056
如何解决？
现在一个稍强一点的家用PC机就可以一秒钟运行十亿次hash函数，所以我们需要一个能产生更大范围的结果的hash函数。比如md5()就更合适一些，它可以产生128位的hash值，也就是有340,282,366,920,938,463,463,374,607,431,768,211,456种可能的 输出。所以人们一般不可能做那么多次循环来找到hash碰撞。然而仍然有人找到方法来做这件事情，详细可以查看例子。
sha1()是一个更好的替代方案，因为它产生长达160位的hash值。
5.问题2：彩虹表
即使我们解决了碰撞问题，还是不够安全。
“彩虹表通过计算常用的词及它们的组合的hash值建立起来的表。”
这个表可能存储了几百万甚至十亿条数据。现在存储已经非常的便宜，所以可以建立非常大的彩虹表。
现在我们假设一个人窃取了数据库，得到了几百万个hash过的密码。窃取者可以很容易地一个一个地在彩虹表中查找这些hash值，并得到原始密码。虽然不是所有的hash值都能在彩虹表中找到，但是肯定会有能找到的。
如何解决？
我们可以尝试给密码加点干扰，比如下面的例子：
$password = "easypassword";
// this may be found in a rainbow table
// because the password contains 2 common words
echo sha1($password); // 6c94d3b42518febd4ad747801d50a8972022f956
// use bunch of random characters, and it can be longer than this
$salt = "f#@V)Hu^%Hgfds";
// this will NOT be found in any pre-built rainbow table
echo sha1($salt . $password); // cd56a16759623378628c0d9336af69b74d9d71a5
在这里我们所做的只是在每个密码前附加上一个干扰字符串后进行hash，只要附加的字符串足够复杂，hash后的值肯定是在预建的彩虹表中找不到的。不过现在还是不够安全。
6.问题3：还是彩虹表
注意，彩虹表可能在窃取到干拢字符串后重头开始建立。干扰字符串一样也可能被和数据库一起被窃取，然后他们可以利用这个干扰字符串从头开始创建彩虹表，如“easypassword”的hash值可能在普通的彩虹表中存在，但是在新建的彩虹表里，“f#@V)Hu^%Hgfdseasypassword”的hash值也会存在。
如何解决？
我们可以对每个用户使用唯一的干扰字符串。一个可用的方案就是使用用户在数据库中的id：
$hash = sha1($user_id . $password);
这种方法的前提是用户的id是一个不变的值（一般应用都是这样的）
我们也可以为每个用户随机生成一串唯一的干扰字符串，不过我们也需要将这个串存储起来：
// generates a 22 character long random string
function unique_salt() {
return substr(sha1(mt_rand()),0,22);
