Verifikasi Password dengan password_verify()

Dalam dunia pemrograman web, keamanan autentikasi pengguna menjadi pondasi utama yang tidak bisa diabaikan. Password adalah kunci paling vital untuk melindungi data dan identitas pengguna. Namun, menyimpan password dalam bentuk teks biasa (plain text) adalah kesalahan fatal yang masih banyak dilakukan oleh pemula. Untungnya, PHP sudah menyediakan fungsi bawaan yang sangat membantu, yaitu password_hash() dan password_verify(). Artikel ini akan membahas secara mendalam tentang bagaimana cara kerja password_verify() dan mengapa fungsi ini menjadi standar emas dalam verifikasi password.

---

Mengapa Tidak Boleh Menyimpan Password dalam Plain Text?

Sebelum membahas password_verify(), mari pahami dulu masalah terbesar yang sering muncul dalam pengelolaan password. Menyimpan password langsung dalam database tanpa enkripsi ibarat menyimpan kunci rumah di atas meja teras. Jika database bocor, semua password pengguna langsung diketahui oleh peretas.

Banyak kasus kebocoran data besar terjadi karena kelalaian ini. Perusahaan raksasa sekalipun pernah kena imbas karena tidak menggunakan metode hashing yang benar. Oleh karena itu, penting untuk selalu mengandalkan fungsi hashing yang aman dan proses verifikasi yang benar.

---

Peran password_hash() sebagai Pasangan password_verify()

Untuk bisa menggunakan password_verify(), langkah pertama adalah menyimpan password dengan benar menggunakan password_hash(). Fungsi ini mengubah password asli menjadi string hash yang rumit dan tidak bisa dibalikkan ke bentuk awal. Hash ini yang disimpan dalam database, bukan password asli.

Contoh penggunaan:

$password = "rahasia123";
$hashedPassword = password_hash($password, PASSWORD_DEFAULT);

Hasil dari $hashedPassword biasanya berupa string panjang yang unik meski password yang dimasukkan sama. Inilah yang membuat sistem lebih aman dari serangan brute force dan rainbow table.

---

Apa Itu password_verify()?

password_verify() adalah fungsi PHP yang digunakan untuk memverifikasi apakah password yang dimasukkan pengguna sesuai dengan hash password yang tersimpan di database. Fungsi ini tidak membandingkan password asli dengan hash secara langsung, melainkan melakukan proses yang kompleks sesuai dengan algoritma hashing yang digunakan oleh password_hash().

Sintaks dasarnya:

password_verify(string $password, string $hash): bool

• $password → password asli yang dimasukkan oleh pengguna.
• $hash → password hash yang disimpan di database.
• Return → true jika cocok, false jika tidak.

---

Contoh Implementasi Login dengan password_verify()

Bayangkan kita memiliki sistem login sederhana. Alurnya adalah: pengguna memasukkan username dan password, sistem mencari hash password dari database berdasarkan username, lalu memverifikasi input pengguna dengan hash tersebut.

// Password input dari form login
$inputPassword = $_POST['password'];

// Hash password yang tersimpan di database
$storedHash = '$2y$10$eImGQxLh...'; // contoh hasil dari password_hash()

if (password_verify($inputPassword, $storedHash)) {
    echo "Login berhasil, selamat datang!";
} else {
    echo "Password salah!";
}

Dengan cara ini, sistem tidak pernah membandingkan password asli dengan database. Yang dibandingkan adalah hasil proses verifikasi dari algoritma hashing.

---

Kelebihan password_verify() Dibandingkan Metode Lama

Sebelum fungsi ini hadir, banyak developer menggunakan md5() atau sha1() untuk hashing password. Masalahnya, kedua fungsi itu sudah dianggap tidak aman karena hash yang dihasilkan mudah ditebak dengan rainbow table.

Beberapa kelebihan password_verify():

1. Menggunakan Algoritma Bawaan yang Aman
   Secara default, password_hash() memakai algoritma BCrypt yang sudah diakui keamanannya.
2. Hash yang Dinamis
   Hash yang dihasilkan selalu berbeda meski password-nya sama, berkat adanya salt otomatis.
3. Mudah Digunakan
   Tidak perlu mengelola salt secara manual, karena PHP sudah melakukannya di belakang layar.

---

Studi Kasus: Login dengan Database MySQL

Mari lihat contoh yang lebih nyata dengan integrasi database MySQL. Misalnya, kita punya tabel users dengan kolom username dan password.

// Koneksi database
$conn = new mysqli("localhost", "root", "", "test");

// Input dari user
$username = $_POST['username'];
$password = $_POST['password'];

// Ambil data user
$sql = "SELECT password FROM users WHERE username = ?";
$stmt = $conn->prepare($sql);
$stmt->bind_param("s", $username);
$stmt->execute();
$stmt->store_result();

if ($stmt->num_rows > 0) {
    $stmt->bind_result($hashedPassword);
    $stmt->fetch();

    if (password_verify($password, $hashedPassword)) {
        echo "Login sukses!";
    } else {
        echo "Password salah!";
    }
} else {
    echo "User tidak ditemukan!";
}

Dengan pola ini, sistem login lebih aman karena:

• Password disimpan dalam bentuk hash.
• Proses verifikasi tidak pernah mengekspos password asli.
• Developer tidak perlu pusing mengelola salt.

---

Kesalahan Umum Saat Menggunakan password_verify()

Meski sudah ada fungsi yang sangat membantu, masih banyak developer yang melakukan kesalahan. Beberapa yang paling sering terjadi:

1. Menyimpan Password Asli di Database
   Hash seharusnya yang disimpan, bukan teks password mentah.
2. Menggunakan == untuk Membandingkan Hash
   Ini salah besar. Gunakan hanya password_verify() karena hash selalu berubah meski password sama.
3. Tidak Memperbarui Hash Lama
   Jika dulu pernah menggunakan md5() atau sha1(), sebaiknya migrasi ke password_hash() dengan PASSWORD_DEFAULT.

---

Bagaimana Jika Algoritma Hash Berubah?

Kelebihan lain dari kombinasi password_hash() dan password_verify() adalah fleksibilitasnya. PHP menyediakan password_needs_rehash() untuk mendeteksi apakah hash lama perlu diperbarui ke algoritma baru. Hal ini penting karena standar keamanan terus berkembang.

Contoh:

if (password_verify($password, $hashedPassword)) {
    if (password_needs_rehash($hashedPassword, PASSWORD_DEFAULT)) {
        $newHash = password_hash($password, PASSWORD_DEFAULT);
        // Simpan kembali hash baru ke database
    }
}

Dengan cara ini, aplikasi tetap bisa beradaptasi dengan teknologi keamanan terbaru tanpa mengganggu pengguna.

---

Tips Praktis Menggunakan password_verify()

Agar implementasi lebih maksimal, berikut beberapa tips yang bisa diterapkan:

• Gunakan HTTPS untuk melindungi password saat dikirimkan dari form ke server.
• Jangan lupa untuk escape input atau gunakan prepared statement agar aman dari SQL Injection.
• Terapkan limit login attempt agar brute force attack lebih sulit dilakukan.
• Selalu gunakan PHP versi terbaru karena update biasanya menyertakan perbaikan pada fungsi keamanan.