存储网站密码盐的最佳位置在哪里？

Question

我有两个盐,每个用户都有一个独特的盐,与数据库中的用户信息一起存储.第二种盐是网站特有的盐.两者都需要哈希密码.

问题是我不知道我应该在哪里保持我的网站盐.现在它驻留在运行散列算法的PHP方法中.我应该将它保存在/ var/www /之外的文件中并打开PHP并读取文件吗？我不想将它存储在数据库中,因为如果我的数据库受到损害,那将会破坏两种盐的目的.

有什么建议？

Answer 1

尚未提及的一个选项？服务器提供的环境变量.您可以在httpd.conf或.htaccess中执行此操作.由于Apache不提供.htaccess文件,因此您无需担心将其隐藏起来......

SetEnv WEBSITE_SALT 232lhsdfjaweufha32i4fv4239tauvkjn

这样,您在应用程序中需要做的就是$salt = getenv('WEBSITE_SALT');.这里的好处是它对应用程序是透明的......

Answer 2

是的,将它保存在某个PHP配置文件中,最好放在Web根目录上的文件夹中.