password_verify() failed to verify bcrypt passwords containing null bytes

Description

The following code:

<?php
$hash = password_hash("secret", PASSWORD_BCRYPT);
var_dump(password_verify("secret", $hash));
var_dump(password_verify("secret" . chr(0) . "suffix", $hash));
?>

Resulted in this output:

bool(true)
bool(true)

But I expected this output instead:

bool(true)
bool(false)

PHP Version

all supported version

Operating System

No response

まず、password_hash()、password_verify()、PASSWORD_BCRYPT、およびヌルバイトを使った例を再現し、次に PHP の実装と既存のパスワード検証テストを追跡します。元の bcrypt ハッシュに対してヌルバイトのサフィックスを持つパスワードでは検証に成功せず、変更されていないパスワードでは引き続き検証に成功すれば完了です。