盐：散列还是纯文本？

Question

我想在数据库中的密码旁边存储一个（随机）盐。现在，问题是：

我应该将其存储为散列还是纯文本？有什么区别吗（更安全、更快？）？我应该花多少精力来创建随机字符串？

示例代码：

    //Creating random salt
    $saltchars = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!#$%&()*+,-./:;<=>?@[]^_`{|}~";

    $salt = uniqid(rand(), true).str_shuffle($saltchars);
    // Or should the salt be hashed (md5 or sha512 for more security)
    // $salt = hash('sha512', uniqid(rand(), true).$staticsalt.str_shuffle($saltchars));
    //Create user (with salt & pepper)
$sqlquery = "INSERT INTO users (user, password, salt) VALUES('$id','".hash('sha512', $staticsalt.$accesskey.$salt)."','".$salt."');"; 
    $sqlresult = mysql_query($sqlquery); 

记录一下：登录脚本

    $sqlquery = "SELECT salt FROM users WHERE user='$id';"; 
    $sqlresult = mysql_query($sqlquery); 

    if (mysql_num_rows($sqlresult) == 1) { 

    $salt = (mysql_fetch_array($sqlresult));

//Check if the password is correct
    $sqlquery = "SELECT * FROM users WHERE user='$id' AND password='".hash('sha512', $staticsalt.$accesskey.$salt[0])."'";
    $sqlresult = mysql_query($sqlquery);
    unset($accesskey, $salt);

    //Check whether the query was successful or not
    if($sqlresult) {
    if(mysql_num_rows($sqlresult) == 1) 
        {echo 'Login successfull';}
        else {die('Error: wrong user ID/password');}
    }
   }

我知道有很多（可能太多了）网站讨论盐的利弊。但没有人回答盐是否应该加密 - 也没有人展示如何使用随机（！）盐编写登录脚本（像我一样保存在数据库中）。

所以作为一个 php 初学者，我不知道这段代码是否安全？或者是否有任何技巧可以使其更快或更精简......谢谢！

Answer 1

没关系。您可以假设盐是公共信息，因为盐有助于防止攻击（彩虹表辅助字典攻击），如果攻击者知道盐，则不会变得更容易。您应该问自己为什么认为首先加密盐是个好主意。

另外，您应该阅读以下内容：

• http://codahale.com/how-to-safely-store-a-password/