pbkdf2 加盐哈希密码验证

Question

我有一个包含加盐哈希密码的用户数据库和一个他们登录的 Java 应用程序，这样做更好吗

SELECT COUNT(*) FROM `--database--` WHERE `username`= ? AND `passwordHash`= ?;

如果计数为1，则让他们登录，否则...

SELECT `passwordHash` FROM `--database--` WHERE `username`= ?;

...然后在用户应用程序上本地验证它。

哪个更安全？ - 我通常使用第一种方式，但我不断看到第二种方式出现在这里和那里。

供参考，我正在使用的系统：https://codereview.stackexchange.com/questions/55900/password-hashing-method-in-java

Answer 1

在我看来，数据库也会有salt，应用程序需要它来计算哈希。因此你应该使用

SELECT `passwordHash`, `Salt` FROM `--database--` WHERE `username`= ?;

并在应用程序级别执行比较。

这种责任分工稍后会在您构建身份验证机制时派上用场，例如如果添加lockout 机制：

SELECT `passwordHash`, 
       `Salt`, 
       `LockoutStatus` 
FROM   `--database--` 
WHERE  `username`= ?;

如果您没有使用用户特定的盐或锁定，那么您就有潜在的安全问题。请参阅有关此主题的oWASP guidance。