Как WordPress шифрует пароли?

Библиотека шифрования паролей находится в /wp-includes/class-phpass.php. Это Портативный фреймворк для хэширования паролей на PHP (Portable PHP Password hashing framework).

Похоже, вы хотите использовать внешний код для проверки имен пользователей и паролей в базе данных WordPress. Если это так, вы потратите много времени на изобретение велосипеда. Но для хорошего примера того, как это сделать на чистом PHP, стоит взглянуть на основные функции WordPress, которые уже реализуют эту функциональность.

Яркий пример — функция `wp_check_password()`:

function wp_check_password($password, $hash, $user_id = '') {
    global $wp_hasher;

    // Если хеш всё ещё в MD5...
    if ( strlen($hash) <= 32 ) {
        $check = ( $hash == md5($password) );
        if ( $check && $user_id ) {
            // Пересоздаём хеш с использованием нового алгоритма.
            wp_set_password($password, $user_id);
            $hash = wp_hash_password($password);
        }

        return apply_filters('check_password', $check, $password, $hash, $user_id);
    }

    // Если сохранённый хеш длиннее MD5, предполагаем,
    // что используется новый phpass portable hash.
    if ( empty($wp_hasher) ) {
        require_once ( ABSPATH . 'wp-includes/class-phpass.php');
        // По умолчанию используем portable hash из phpass
        $wp_hasher = new PasswordHash(8, TRUE);
    }

    $check = $wp_hasher->CheckPassword($password, $hash);

    return apply_filters('check_password', $check, $password, $hash, $user_id);
}

Сначала WordPress проверяет, использует ли хешированный пароль пользователя устаревший MD5 для безопасности. Это нужно для сохранения обратной совместимости при обновлениях. Если пароль действительно в MD5, то WordPress автоматически заменит его новым хешем с использованием новой системы (вызов wp_set_password()). Если он не в MD5, то WordPress переходит к новой системе хеширования.

Сначала мы подключаем Portable PHP Hashing Framework (уже упомянутый @John Watson в другом ответе) и создаём его экземпляр, сохраняя его в глобальной переменной $wp_hasher.

Затем мы передаём пароль в открытом виде и хеш для его проверки, используя метод CheckPassword() этой библиотеки.

Если вы хотите использовать это во внешней библиотеке, вам сначала нужно include/require саму библиотеку, затем создать её экземпляр, а затем передать пароль в открытом виде и его хеш. Вот пример непроверенного псевдокода...

function validate_password( $plaintext, $hash ) {
    require_once( 'class-phpass.php' );
    $hasher = new PasswordHash(8, TRUE);

    return $hasher->CheckPassword( $plaintext, $hash );
}

// Подключаем файл с классом для хеширования паролей в WordPress
require_once( '/путь/до/wp-includes/class-phpass.php' );

// Создаем экземпляр класса PasswordHash с параметрами:
// 8 - количество итераций хеширования
// TRUE - использование "переносимого" хеширования
$wp_hasher = new PasswordHash( 8, TRUE );

// Пароль, который нужно захешировать
$password = 'swordfish';

// Генерируем хеш пароля
$hashed_password = $wp_hasher->HashPassword( $password );