PHP MySQLi预处理语句绑定参数时引用错误与安全密码哈希实践

本文详解“only variables should be passed by reference”错误成因，指出bind_param()要求传入变量而非函数返回值，并提供修复方案；同时强调弃用sha-1，推荐使用php原生password_hash()/password_verify()实现安全密码存储与验证。

一、MySQLi预处理语句中bind_param()的引用错误

许多开发者在用MySQLi预处理语句时，常在bind_param()这一步遇到报错：“only variables should be passed by reference”。这个错误的根本原因在于：bind_param()要求所有传入的参数必须是可被引用赋值的变量（左值），而不能是表达式、字面量或函数返回值。例如，直接使用sha1($_POST['l_pass'])作为参数，这是一个临时计算结果，并非变量，无法取地址，因此PHP会抛出该错误。

以下是一个典型的错误示例：

$query->bind_param("ss", $_POST['l_user'], sha1($_POST['l_pass'])); //  错误：函数调用不可传引用

问题在于sha1($_POST['l_pass'])是临时值而非变量。修复方法很简单：先计算哈希值并存入变量，再绑定该变量：

if (isset($_POST['l_login'])) {
    $query = $con->prepare("SELECT id FROM librarian WHERE username = ? AND password = ?");
    $username = $_POST['l_user'];
    $password_hash = sha1($_POST['l_pass']); //  先赋值为变量
    $query->bind_param("ss", $username, $password_hash);
    $query->execute();
    $result = $query->get_result();
    if ($result->num_rows !== 1) {
        echo error_without_field("Invalid username/password combination");
    } else {
        // 登录成功逻辑
        $row = $result->fetch_assoc();
        $_SESSION['librarian_id'] = $row['id'];
        header("Location: dashboard.php");
        exit;
    }
}

二、SHA-1已不安全，必须弃用

上述示例仍使用了sha1()，这是更严重的安全隐患。需要明确指出：SHA-1已经被密码学界彻底推翻。自2005年起，实用碰撞攻击相继被公开；2017年Google通过SHAttered攻击演示了完整的SHA-1碰撞。使用SHA-1哈希密码相当于将大门钥匙挂在门口，极其危险。因此，必须立即淘汰这一方案。

当前PHP（5.5及以上版本）内置了完善的密码哈希方案，推荐使用 password_hash() 和 password_verify()。该方案自动生成随机盐、可配置计算强度，并支持算法升级（从bcrypt到Argon2平滑迁移）。注册时的示例如下：

// 注册时：生成强哈希（自动加盐、支持算法升级）
$hash = password_hash($_POST['l_pass'], PASSWORD_ARGON2ID, [
    'memory_cost' => 65536, // 64MB 内存
    'time_cost'   => 4,
    'threads'     => 3
]);

// 登录时：安全比对（自动处理盐与算法）
if (password_verify($_POST['l_pass'], $stored_hash)) {
    // 密码正确
}

若服务器环境较旧（如PHP < 7.2），不支持Argon2，可退而使用PASSWORD_DEFAULT（当前默认为bcrypt）：

$hash = password_hash($_POST['l_pass'], PASSWORD_DEFAULT);
// 验证方式不变：password_verify($input, $hash) → 始终安全

三、安全密码存储与预处理语句的最佳实践总结

最后，总结几条不可违背的安全原则：

• bind_param()只接受变量，严禁直接传入函数调用结果；
• SHA-1、MD5、无盐的crypt()等老算法必须彻底淘汰；
• 始终坚持使用 password_hash() + password_verify()，它们已内建最佳实践（随机盐、可配置强度、向后兼容的算法升级）；
• 预处理语句防止SQL注入，安全哈希防止彩虹表与碰撞攻击——二者缺一不可。