password_verify() failed to verify bcrypt passwords containing null bytes

Description

The following code:

<?php
$hash = password_hash("secret", PASSWORD_BCRYPT);
var_dump(password_verify("secret", $hash));
var_dump(password_verify("secret" . chr(0) . "suffix", $hash));
?>

Resulted in this output:

bool(true)
bool(true)

But I expected this output instead:

bool(true)
bool(false)

PHP Version

all supported version

Operating System

No response

首先使用 password_hash()、password_verify()、PASSWORD_BCRYPT 和空字节复现该示例，然后跟踪 PHP 实现和现有的密码验证测试。当带有空字节后缀的密码不再能通过原始 bcrypt 哈希的验证，而未更改的密码仍能通过验证时，即表示完成。