尝试对我的密码进行哈希处理但没有成功

Question

我对 php 安全性相当陌生，对于我的网站，我是注册和登录，我想添加 md5 他们的密码，但我找不到任何地方有关于需要添加到哪些内容的明确指南注册，以及需要添加到登录文件和/或数据库中的内容，正如我所说，我在网络安全方面对 php 相当陌生，所以我需要一些帮助，这是我所拥有的部分在我的注册表单上：

    $error = $user = $pass = "";
if (isset($_SESSION['user'])) destroySession();

if (isset($_POST['user']))
{
    $user = sanitizeString($_POST['user']);
    $pass = sanitizeString($_POST['pass']);


    if ($user == "" || $pass == "")
    {
        $error = "Not all fields were entered<br /><br />";
    }
    else
    {
        $query = "SELECT * FROM members WHERE user='$user'";

        if (mysql_num_rows(queryMysql($query)))
        {
            $error = "Username already taken<br /><br />";
        }
        else
        {
            $query = "INSERT INTO members VALUES('$user', '$pass')";
            queryMysql($query);
            die("<h4>Account created</h4>Please Log in.");
        }

    }
}

我只需要一个示例或一个很好的指南来说明我需要做什么才能使其正常工作。

Answer 1

我认为您正在寻找加盐然后散列您的密码。只需将您选择的字符串添加到密码的前面（如果您愿意，也可以添加到密码的末尾），然后使用 MD5 对其进行哈希处理。

例如，

$pass = 'mypassword';
$salt = 'S%gh3578';  //anything you want
$pepper = 'w890rrk'; //anything you want
$query = "INSERT INTO members VALUES('$user', md5('".$salt.$pass.$pepper."'))";
queryMysql($query);

这将使用加盐 MD5 加密将密码存储在数据库中，并且无法使用使用未加盐 MD5 加密的常见密码查找表来反转该密码。

要检查密码是否有效，您可以执行类似的操作：

$passToCheck = 'something';
$correctMD5 = (retrieve hash from db)
if($salt.$passToCheck.$pepper == $correctMD5)
{    
   //valid login
} else {
   //login failure
}

Answer 2

例如，您可以在插入之前进行 md5($pass) ，当用户登录时，您可以再次进行 md5 并检查值是否相同。无法去除 md5，因此您通常会根据 md5 DB 值检查 md5 输入。