哈希密码和加盐密码并不总是相同

Question

我在 Spring 应用程序中使用 Apache Shiro 作为安全层，但我遇到了一个非常奇怪的情况。

首先，这就是我的安全系统的设置方式。当用户注册时，他们的密码将使用安全生成的随机盐进行哈希处理。然后，盐和散列密码存储在我的数据库中。当他们注册和登录时，一切都 100% 正常，但几天过去了，他们的哈希密码突然不再匹配。这是我的代码：

import org.apache.shiro.codec.Base64;
import org.apache.shiro.crypto.hash.Sha256Hash;

public static void main(String[] args) {
        String plainPassword = "testing";
        String salt = "8AFTpriREtydSg39+37rQHNRyvZLuXqyXYgWXI55f1PbhbUQSeFGCLKsHpA6thZKs3uQeNNJHksqcV5oaNcr9lQiXMMyC8Duqr2aQaqyjLKpNMVlB69jJ7emNq0K6ccfBdv/O4JGT2U689LeNg6CqN+9kqW2GBgT2CIVOlapA34=";

        System.out.println(new Sha256Hash(plainPassword.toCharArray(), Base64.decode(salt), 1024).toBase64());
}

生成的散列密码是：

b8VLt/eKV8F5kwDjRgdkM+PAvQC8sk7Ooflt91juaXA= 

但是我数据库中的密码（该密码正在工作并且是在几天前使用完全相同的盐生成的）是：

xZNBNlUa8vRQq0qY5bbkETzZtzztGRTH2KZKijQdilU=

因此，正如您可以想象的那样，我完全被难住了。有谁知道我是否做错了什么？或者如果我留下了一步。

更新 1：在我的系统中注册新用户后，系统中的所有其他用户似乎都因某种原因更改了密码。所以这与密码哈希的生成方式无关，更多地与我的数据库访问层有关。

Answer 1

看来您的问题与哈希和咸水无关。您正在发送不正确的查询以更新不需要的记录。

但是我会为盐提供建议 - 为每个用户使用不同的盐。否则，您的密码不那么安全。想象一下，如果某人获得盐和您的数据库，会发生什么。一段时间后（可能是几周，但这并不多）他将能够生成彩虹桌并拥有大多数密码。虽然您使用其他盐，但他将必须生成与用户数量一样多的彩虹桌。

Answer 2

事实证明，我在其他地方有一些狡猾的代码正在更新我的用户对象并用新密码覆盖他们的密码。所以密码哈希算法毕竟工作正常。