我最近检查的一个 GitHub 项目存在安全缺陷，因为他们使用未加盐的 md5() 对密码进行哈希处理。我打开了一个错误，他们承认了。但是，从 md5() 到 bcrypt 的转换意味着每个用户都需要登录才能迁移密码。

所以我的问题是，在 md5() 上使用 bcrypt 会降低它的安全性吗？

// For already logged in users:
if (password_verify(md5($_POST['pass']), $DBHash)) {

  }

这样，整个数据库可以很容易地迁移，而不是单独迁移每个用户。

除了如果处理不当，PHP 可能会超时，是否还有其他问题？（每个哈希大约 1 秒）。