用户密码验证与他最近在Drupal6中的密码历史记录

Question

当用户更改他的密码或管理员更改任何用户密码时，它不应该与他的最后3个密码相同。 如何进行验证？我已经安装了password_policy模块。但它没有正确验证这个约束。 任何人都可以告诉我如何实现这一目标？我也安装了phpass模块，是否对这个模块有影响？ 请帮我解决这个问题。

Answer 1

按照Password policy模块页面，它说，它支持：

历史约束（检查散列密码对用户的集合之前的散列密码找最近的一式两份）

所以我第一个倾向是phpass可能会影响这一点。是否可以禁用phpass模块来测试此并确认？

实际上，根据Secure Password Hashes模块页面，它使用不同的算法来存储用户的密码。由于Password policy将密码的历史记录存储为md5散列（在Drupal 6中），如果phpass没有考虑到这一点，则可能会导致问题。

看看这个相关phpass module issue。您还可以检查password_policy_history表，并查看给定用户的密码哈希历史记录是否与由phpass创建的同一用户的当前密码哈希值匹配。