在MYSQL数据库中存储密码的最佳方法

Question

是的我知道不建议以纯文本格式存储密码.有一种最好的方法来存储密码,以便应用程序保持安全吗？

Answer 1

首先,md5和sha1已被证明易受碰撞攻击,并且可以很容易地彩虹化(当他们看到你的哈希在他们的普通密码数据库中是相同的时).

目前有两件事对于您可以使用的密码足够安全.

第一个是sha512.sha512是SHA2的子版本.SHA2尚未被证明易受冲突攻击,sha512将生成512位哈希.以下是如何使用sha512的示例:

<?php
hash('sha512',$password);

另一个选项叫做bcrypt.bcrypt因其安全的哈希而闻名.它可能是最安全的,也是最可定制的.

在您想要开始使用bcrypt之前,您需要检查您的服务器是否已启用它,输入以下代码:

<?php
if (defined("CRYPT_BLOWFISH") && CRYPT_BLOWFISH) {
    echo "CRYPT_BLOWFISH is enabled!";
}else {
echo "CRYPT_BLOWFISH is not available";
}

如果它返回它已启用,那么下一步很简单,你需要做的就是加密密码(注意:为了更加可自定义,你需要看到这个如何在PHP中使用bcrypt进行散列密码？):

crypt($password, $salt);

salt通常是随机字符串,您在散列它们时在所有密码的末尾添加.使用salt意味着如果有人获取了您的数据库,他们就无法检查常用密码的哈希值.使用彩虹表调用数据库.散列时应始终使用盐!