在存储到数据库之前加密密码？

Question

我有一个密码通过 php 脚本 user.php 从我的 iPhone 应用程序传递到数据库。

变量 $pass 由以下内容填充：

$pass = str_replace("'", "", $_REQUEST['pass']);

在将其插入数据库之前如何对其进行加密？我已经阅读了一些有关不同技术的内容，但正在寻找管理此问题的最佳方法。

谢谢大家。

Answer 1

虽然下面的答案在技术上仍然是正确的，但 php 对于要使用的哈希算法有新的建议。 他们的建议，截至 php >= 5.5 .0，就是使用 password_hash 和 password_verify 函数进行哈希和验证散列密码。作为一个额外的好处，这些函数会自动包含个性化的盐作为返回的哈希的一部分，因此您无需明确担心这一点。

---

If you don't care about retrieving the actual password's value (from the database encrypted value), you can run a one-way hash algorithm on it (such as sha1). This function will return a specific length string (hash) which cannot be used to find the original string (theoretically). It is possible that two different strings could create the same hash (called a collision) but this shouldn't be a problem with passwords.
Example:

$pass = sha1($_REQUEST['pass']);


有一件事，为了使它更安全一点，就是在哈希中添加盐并再次运行哈希函数。这使得恶意生成密码哈希变得更加困难，因为盐值仅在服务器端处理。
示例：
<代码>
$pass = sha1(sha1($_REQUEST['pass']).sha1("mySalt@$#(%"));

Answer 2

使用 php 的 crypt 库。 md5不是加密，而是散列。

另外，给你的密码加盐。 为什么？

• 这个答案
• 另一个很好的答案

Answer 3

首先，您应该创建一个随机用户盐。然后您应该将其和密码哈希存储在数据库中。

$salt = md5(unique_id().mt_rand().microtime());
$pass = sha1($salt.$_REQUEST['pass']);

并将 $salt 和 $pass 保存在数据库中。然后，当他们登录时，您查找他们的行并检查哈希值：

$user = query('SELECT * FROM `user` WHERE username = ?', array($_REQUEST['username']));

if($user)
{
    // If the password they give maches
    if($user->pass === sha1($user->salt. $_REQUEST['pass']))
    {
        // login
    }
    else
    {
        // bad password
    }
}
else
{
    // user not found
}

为每个帐户创建用户盐可确保彩虹表毫无用处，并且任何闯入您服务器的人都必须暴力破解每个密码。

Answer 4

使用 crypt 和一些盐。例如

$user = strip_tags(substr($_REQUEST['user'],0,32));
$plain_pw = strip_tags(substr($_REQUEST['pass'],0,32));

$password = crypt(md5($plain_pw),md5($user));

http://www.ibm.com/developerworks/开源/库/os-php-加密/

Answer 5

最基本的：使用 MD5 或 SHA1 对其进行哈希处理

$newpass = md5($_REQUEST['pass']);

，或者

$newpass = sha1($_REQUEST['pass']);

最近我也开始存储经过哈希处理的用户名，因此仅使用哈希数据进行比较来登录尝试是安全的。

您可以使用额外的数据“加盐”哈希值，因此如果它们被泄露，则无法找到它的值（尝试谷歌搜索一些简单的哈希词）。即使用站点范围的字符串只是为了更改标准哈希值，例如 md5( “mySiteSalt!!” $_REQUEST['pass']); 或更高级的内容。

Answer 6

您应该使用 SHA1 对密码进行哈希处理以存储在数据库中。这是存储密码的最简单但最有效的方法：

$password = sha1($password);

它也非常安全。尽管它的完整性开始下降，但将此函数升级到 SHA-256（非常安全）相当容易。

Answer 7

要了解为什么 md5、sha1 和它们的快速朋友可能不是一个好主意，您应该阅读这篇文章 彩虹表已经足够了：关于安全密码方案您需要了解的内容 作者：Thomas Ptacek 。要点：

最后，我们了解到，如果我们想要
安全地存储密码我们有三个
合理的选择：PHK的MD5方案，
Provos-Maziere 的 Bcrypt 方案，以及
建议零售价。我们了解到，正确的
选择Bcrypt。

注意：是PHK，不是php。