Hallo Jonathan,

Was für Sicherheitsgründe? Wäre es nicht sinnvoller, das Passwort nicht nochmal unverschlüsselt über die Leitung zu jagen zwischen MySQL und PHP? Mir ist nicht klar, warum das die Sicherheit erhöhen sollte...

Das "Problem" ist wohl, dass wenn der Browser nur einen Hash senden muss, es genauso ausreicht, wenn jemand den Hash mithört und diesen dann versendet.

Mein Einwand hier bezog sich auf die Strecke zwischen PHP und MySQL und nicht zwischen Browser und Webserver.

Ferner:

Eine relativ sichere Lösung ist es, dass der Server dem Client einen zufälligen String schickt und von diesem verlangt, dass er diesen zusammen mit dem Passwort hashed (z.B. MD5) und dann zurücksendet. Jemand der den Datenverkehr mithört kriegt dann natürlich den Hash mit, der hilft ihm aber wenig, da der Server das nächste mal einen anderen zufälligen String schicken wird, der gehasht werden muss.

Was Du hier vorschlägst, nennt sich Challange-Response - und dafür muss das Passwort auf dem Server im Klartext vorliegen, also genau das, was der OP nicht will. ;-)

Viele Grüße,
Christian