PHP crypt() 和 Coldfusion

Question

我们正在从 PHP 和 MySQL 迁移到纯 CF/MSSQL 平台，我想把我们的用户帐户从 MySQL 带走。

用户帐户最初是在 PHP/MySQL 站点上创建的，并使用 8 个字符的盐和 MD5 加密的密码存储，如下所示：

• 用户代码：ISzYi6zf
• 密码：$1$ISzYi6zf$prff0mAKPVBHNKOlRradj1

有了我知道的 salt 和加密密码，我希望能够从 CF 中的用户输入“重建”34 个字符串，以与数据库中存储的内容进行比较。

到目前为止，我在 CF 中尝试过的任何事情都无法让我“重建”结果 34 个字符的字符串，以便我可以将它们与数据库中的内容进行比较，即。我正在寻找用户输入，向其中添加已知的盐，并提出一个 34 个字符的字符串以便比较它们。

感谢您的帮助！

更新：

@Leigh，这是 PHP 用来验证的代码：

<?
    $user_salt = $_POST["user_salt"];
    $password = $_POST["password"];
    $pass_meth = $_POST["pass_meth"];
    if(strlen($user_salt) > 8 && $pass_meth > 0)
    {
        list($salt1, $salt2) = str_split($user_salt, ceil(strlen($user_salt) / 2));
            $salty_password = $salt1.$password.$salt2;
        $pass_to_use =  md5($salty_password);   
    }
    else
    {
        if(strlen($user_salt) > 8)
        {
            $user_salt = "$1$".str_pad(substr($user_salt, 0, 8), 8, '0', STR_PAD_LEFT)."$";
        }
        else
        {   
            $user_salt = "$1$".substr($user_salt, 0, 8)."$";
        }
        $pass_to_use = crypt($password, $user_salt);
    }
    echo $pass_to_use;
?>

我们在 MySQL DB 中可用的信息如下：

• user_email:oli@xxx.com
• 用户代码：$1$xxxxxxxx$
• 用户密码：$1$xxxxxxxx$xxxxxxx

用户密码的格式为 $1$xxxxxxxx$prff0mAKPVBHNKOlRradj1 - 34 个字符，包括附加的用户代码。

目前，我们通过让 CF 将原始用户输入（电子邮件 + 密码）以及检索到的 user_code（PHP 用来对 crypt 函数加盐）发送到 PHP 页面来呈现密码并与数据库。

我基本上不知道如何使用现有的 salt 在 CF 中准确呈现用户信息。

谢谢！

Answer 1

（免责声明：我不是 PHP 人）。忽略基本的字符串函数，代码的关键部分似乎涉及两个函数：md5 和 crypt。

地穴

根据我的阅读，没有内置相当于 PHP 的crypt()。但是，Apache Commons Codec 库中有一个java implementation of that algorithm，可以从 CF 中使用。下载最新版本的Apache Commons Codec^**。然后通过 this.javaSettings 在 Application.cfc 文件中加载 jar。加载后，您可以创建Md5Crypt class 的实例并生成哈希。

ColdFusion：

Md5Crypt = createObject("java", "org.apache.commons.codec.digest.Md5Crypt");
salt = "$1$ISzYi6zf$";
data = charsetDecode("some value to hash here", "utf-8");
result = Md5Crypt.md5Crypt(data, salt);
writeDump( Md5Crypt.md5Crypt(data, salt) );

PHP：

$salt = "$1$"."ISzYi6zf"."$";    
$data = "some value to hash here";
$result = crypt($data , $salt);
echo $result;

结果：

$1$ISzYi6zf$lqApYqSEt9fzpSDEZxuK00 

_{** Apache Commons Codec 与 CF 捆绑在一起。但是，捆绑的 jar 包含一个缩小版本，缺少 MD5Crypt 类。}

MD5

复制 md5 结果更简单。 CF 中的等效函数是Hash()。唯一的区别是 CF 将结果转换为大写。使用LCase()匹配PHP结果：

ColdFusion：

salt1 = "ISzYi";
salt2 = "6zfXX";
password = "some value to hash here";
WriteOutput( lcase(hash(salt1 & password & salt2)) );

PHP：

$salt1 = "ISzYi";
$salt2 = "6zfXX";
$password = "some value to hash here";
echo( md5($salt1.$password.$salt2) );

结果：

c23d4661e1ef7866a4296658e3335dbc