这是一个创建于 4255 天前的主题，其中的信息可能已经有所发展或是发生改变。
经过我的调研，下面的算法应该算是最安全也最简单的了：
sha256(sha256(passwd) + passwd_salt)
passwd_salt 是一个随机生成的 sha256 值。
调研过程： http://jysperm.me/technology/1476
sha256(sha256(passwd) + passwd_salt)
passwd_salt 是一个随机生成的 sha256 值。
调研过程： http://jysperm.me/technology/1476
 | 1 SErHo 2014-02-15 15:01:34 +08:00  1 |
 | 2 raincious 2014-02-15 15:22:09 +08:00 1 献丑下被骂过之后写出的代码，我现在就用它了：https://github.com/raincious/facula/blob/master/Unit/Passworder.php#L85 先用SHA512包裹着站点Salt算指定次数，然后产生一个随机Salt交给crypt混着运算Hash。保存的时候随机Salt+Hash存在数据库里。效验的时候拿随机的Salt和用户输入重新再算一次，匹配就是了，不匹配肯定有问题。 缺点是crypt的算法不同服务器的支持不一样，所以配置站点的时候得小心（所以我设定BlowFish优先级最高，确保服务器支持BlowFish就好了）。但我自己用的很舒服。 还有一个缺点就是站点Salt一旦更改，所有的密码都会失效。不过这一点正和我意嗯。 |
 | 3 zoowii 2014-02-15 15:22:21 +08:00 和我差不多 |
 | 4 jakwings 2014-02-15 23:01:39 +08:00 |
 | 5 mengzhuo 2014-02-16 00:08:13 +08:00 1 一直用Django的，差不多就是这样的 "%s%s" % salt, sha256(salt+raw_password) |
 | nbsp; 6 rankjie 2014-02-16 13:44:01 +08:00 via iPhone 1 一般来说做hash主要是防止在站点已被脱库的时候保护密码原文不被破解，那么采用简单sha/md5的那就不是很健壮了。加了salt再hash，要是salt存在db，那也和前一种没差。所以我选择bcrypt，你值得拥有。。。代价就是登录部分的函数处理时间基本都是三四百ms。。。 |
Select Language