尝试了解 PHP 密码盐/加密

Question

现在我正在开发一个允许在线注册的应用程序。对于开发来说，密码检查仅检查 MySQL 行以确保该值与输入字段中的值匹配。

此代码检查该行是否存在：

$res = mysql_query("SELECT * FROM `users` WHERE `username` = '".$username."' AND `password` = '".$password."'");
                    $num = mysql_num_rows($res);
                    //check if there was not a match
                    if($num == 0){
                        //if not display error message
                        echo "<center>The <b>Password</b> you supplied does not match the one for that username!</center>";

我对实现盐系统感到困惑。我将如何更改此脚本来检查加密的密码？我还没有找到详细解释这一点的优秀教程。

Answer 1

盐是在加密和解密之前添加到密码开头或结尾的一组字符，以使其更难以运行暴力攻击。

您首先创建盐，它只是一系列随机的固定字符，然后将其添加到密码之前，然后对其进行哈希处理。您还应该在将数据放入查询之前对其进行转义，以防止 MySQL 注入攻击。

将通行证输入数据库时​​执行此操作

$username = mysql_real_escape_string($_POST['username']);
$password = mysql_real_escape_string($_POST['pass']);
$pass_hash = md5($SALT.$password);
mysql_query(*query to insert $username and $pass_hash into db*)

检查密码是否正确

$username = mysql_real_escape_string($_POST['username']);
$password = mysql_real_escape_string($_POST['pass']);
$res = mysql_query(*query to extract $pass_hash from db where username==$username)
//get the password from the $res and put it in a var
if(md5($SALT.$pass_hash_from_db) == $password){*correct pass*} else {*invalid login*}

将 $SALT 设置为一些大型随机静态字符串，例如 $SALT="WEHGFHAWEOIfjo;cewrxq#$%";

Answer 2

如果用户注册并将其保存在数据库中，您将必须生成新的盐。

// you save this in the database
$encPass = encFunction( $password.$salt );

当某个用户想要登录时，您检查该密码是否是该用户的密码列。

注：
- encFunction 是你的加密函数