Kalit hosil qilish

function korsat(string $nom, string $hex): void
{
    printf("%-22s %s%s", $nom . ':', $hex, PHP_EOL);
}

$parol = 'Parol123';

// XATO 1: parolni to'g'ridan-to'g'ri kalit sifatida ishlatish
$xato1 = str_pad($parol, 32, "\x00");
korsat('parol + nol', bin2hex($xato1));

// XATO 2: oddiy xesh - juda tez
$xato2 = hash('sha256', $parol, true);
korsat('sha256(parol)', bin2hex($xato2));

echo PHP_EOL, 'ikkalasi ham 32 bayt, lekin ikkalasi ham XATO', PHP_EOL;

$parol = 'Parol123';
$tuz = hex2bin(str_repeat('5a', 16));   // misol uchun qat'iy

// hash_pbkdf2(algo, parol, tuz, takrorlar, uzunlik, xom_baytmi)
$kalit = hash_pbkdf2('sha256', $parol, $tuz, 600000, 32, true);

korsat('kalit (32 bayt)', bin2hex($kalit));

// Bir xil kirish - bir xil kalit
$yana = hash_pbkdf2('sha256', $parol, $tuz, 600000, 32, true);
var_dump(hash_equals($kalit, $yana));

// Tuz o'zgarsa - butunlay boshqa kalit
$boshqaTuz = hex2bin(str_repeat('5b', 16));
$boshqa = hash_pbkdf2('sha256', $parol, $boshqaTuz, 600000, 32, true);
korsat('boshqa tuz bilan', bin2hex($boshqa));

$parol = 'Parol123';

// PHP da Argon2id parol XESHI sifatida mavjud
$xesh = password_hash($parol, PASSWORD_ARGON2ID, [
    'memory_cost' => 65536,   // 64 MB
    'time_cost' => 4,
    'threads' => 1,
]);

// Parametrlar xeshning ichida yozilgan
echo 'parametrlar: ', substr($xesh, 0, 30), PHP_EOL;
echo 'uzunlik:     ', strlen($xesh), ' belgi', PHP_EOL;

// Undan SHIFRLASH kaliti kerak bo'lsa - HKDF bilan ajratamiz
$shifrKaliti = hash_hkdf('sha256', hash('sha256', $xesh, true),
    32, 'shifrlash-v1');

echo 'kalit uzunligi: ', strlen($shifrKaliti), ' bayt', PHP_EOL;

// Tuz tasodifiy bo'lgani uchun har chaqiruvda BOSHQA kalit chiqadi
$ikkinchi = password_hash($parol, PASSWORD_ARGON2ID, [
    'memory_cost' => 65536, 'time_cost' => 4, 'threads' => 1,
]);
$ikkinchiKalit = hash_hkdf('sha256', hash('sha256', $ikkinchi, true),
    32, 'shifrlash-v1');

echo 'ikki kalit bir xilmi: ',
    hash_equals($shifrKaliti, $ikkinchiKalit) ? 'ha' : 'YOQ', PHP_EOL;

// Asosiy kalit - yuqori entropiyali (random_bytes dan olingan)
$asosiy = hex2bin(str_repeat('9c', 32));

// Har maqsad uchun ALOHIDA kalit
$shifrlash = hash_hkdf('sha256', $asosiy, 32, 'shifrlash');
$imzolash = hash_hkdf('sha256', $asosiy, 32, 'imzolash');
$kuki = hash_hkdf('sha256', $asosiy, 32, 'kuki');

korsat('shifrlash', bin2hex($shifrlash));
korsat('imzolash', bin2hex($imzolash));
korsat('kuki', bin2hex($kuki));

echo PHP_EOL, 'uchalasi bir asosiy kalitdan, lekin BOGLIQ EMAS', PHP_EOL;

// HKDF ikki qadamdan iborat: extract va expand
$xomManba = hex2bin(str_repeat('3f', 32));
$tuz = hex2bin(str_repeat('11', 16));

// PHP da hash_hkdf ikkalasini birga bajaradi
$kalit1 = hash_hkdf('sha256', $xomManba, 32, 'kontekst', $tuz);
korsat('tuz bilan', bin2hex($kalit1));

// Tuzsiz ham mumkin (tuz ixtiyoriy)
$kalit2 = hash_hkdf('sha256', $xomManba, 32, 'kontekst');
korsat('tuzsiz', bin2hex($kalit2));

// Turli uzunlikdagi kalitlar
foreach ([16, 32, 64] as $n) {
    printf('%2d bayt: %s%s', $n,
        bin2hex(hash_hkdf('sha256', $xomManba, $n, 'test')), PHP_EOL);
}

final class KalitOmbori
{
    private const VERSIYA = 'v1';

    public function __construct(private readonly string $asosiy)
    {
        if (strlen($asosiy) < 32) {
            throw new InvalidArgumentException(
                'asosiy kalit kamida 32 bayt bolishi kerak');
        }
    }

    public function kalit(string $maqsad, int $uzunlik = 32): string
    {
        return hash_hkdf('sha256', $this->asosiy, $uzunlik,
            self::VERSIYA . ':' . $maqsad);
    }

    public function barmoqIzi(string $maqsad): string
    {
        // Kalitning O'ZINI emas, uning qisqa barmoq izini ko'rsatamiz
        return substr(bin2hex(hash('sha256', $this->kalit($maqsad), true)), 0, 16);
    }
}

$ombor = new KalitOmbori(hex2bin(str_repeat('42', 32)));

foreach (['kuki-imzosi', 'fayl-shifri', 'api-imzo', 'kesh-kaliti'] as $m) {
    printf("%-14s %s%s", $m, $ombor->barmoqIzi($m), PHP_EOL);
}

echo PHP_EOL;

// Qisqa asosiy kalit rad etiladi
try {
    new KalitOmbori('qisqa');
} catch (InvalidArgumentException $x) {
    echo 'RAD: ', $x->getMessage(), PHP_EOL;
}

// To'g'ri usullar to'plami
echo 'yangi kalit:      ', strlen(random_bytes(32)), ' bayt', PHP_EOL;

$paroldan = hash_pbkdf2('sha256', 'Parol123',
    hex2bin(str_repeat('aa', 16)), 600000, 32, true);
echo 'paroldan:         ', strlen($paroldan), ' bayt', PHP_EOL;

$ajratilgan = hash_hkdf('sha256', $paroldan, 32, 'fayl-shifri');
echo 'ajratilgan:       ', strlen($ajratilgan), ' bayt', PHP_EOL;

echo 'parol saqlash:    ', substr(password_hash('Parol123',
    PASSWORD_BCRYPT, ['cost' => 4]), 0, 7), '...', PHP_EOL;