php salt 我的每个用户的密码 sha512 - 我这样做对吗？

Question

我正在尝试为我的密码正确执行每个用户和站点范围的盐。这就是我得到的：

require('../../salt.php'); //this is above the web root and provides $salt variable
$pw = mysql_real_escape_string($_POST['pw']);
$per_user_salt = uniqid(mt_rand());
$site_salt = $salt //from salt.php that was required on first line
$combine = $pw . $per_user_salt . $site_salt;
$pw_to_put_in_db = hash("sha512", $combine);

这是正确的吗？谢谢

Answer 1

通常人们使用唯一的盐与密码连接，然后使用 hmac 方法添加站点范围的哈希密钥：

http://www.php.net/manual/en/function.hash-hmac.php

$password = hash_hmac('sha512', $password . $salt, $sitewide_key);

Answer 2

这很好，只需从 "sha512" 中删除 "" :)

$pw = $_POST['pw'];
$per_user_salt = uniqid(mt_rand());
$site_salt = $salt //from salt.php that was required on first line
$combine = $pw . $per_user_salt . $site_salt;
$pw_to_put_in_db = hash(sha512, $combine);

不必使用 md5 sha512 本身就足够安全

Answer 3

使用 crypt，它支持所有语言，并且您的密码哈希值也可以被其他程序使用：

$hash = crypt("secret", "$6$randomsalt$");

Answer 4

根据这里的评论，我要做的就是：
将我的 $combine 更改为每个用户唯一的但不存储在数据库中的内容。所以类似： $combine = $pw 。 md5($pw) 。 “小马是魔法”。 $site_salt 。 md5($pw); 等等等等...感谢您的帮助...

所以 - 对于那些第一次尝试弄清楚如何执行此操作的人（像我一样）...它一切都与算法有关……创造一些晦涩、独特、难以理解的东西；因为如果有人想进入你的系统，他们就必须弄清楚这一点。感谢大家的精彩评论。