我试图弄清楚 Drupal 6/7 默认使用什么安全性来存储密码。是 MD5、AES、SHA 吗？我一直找不到任何东西。
【问题讨论】：
这是我从 drupal.org 找到的链接：
https://api.drupal.org/api/drupal/core%21lib%21Drupal%21Core%21Password%21PhpassHashedPassword.php/function/PhpassHashedPassword%3A%3Acrypt/8.2.x https://api.drupal.org/api/drupal/core%21lib%21Drupal%21Core%21Password%21PhpassHashedPassword.php/function/PhpassHashedPassword%3A%3Ahash/8.2.x
【讨论】：
对于 Drupal 6 核心，该方法使用 MD5，据我了解，没有使用任何盐分。对于 drupal 7，使用了一些更高级的散列。这里有一篇很好的文章 - http://joncave.co.uk/2011/01/password-storage-in-drupal-and-wordpress/
【讨论】：
drupal 8 正在使用 Phpass（修改版）
drupal 7 使用 SHA-512 + 盐
drupal 6 和以前的版本使用没有盐的 md5
【讨论】：
可以在 www\includes\password.inc 里面查看
function user_check_password($password, $account) {
if (substr($account->pass, 0, 2) == 'U$') {
// This may be an updated password from user_update_7000(). Such hashes
// have 'U' added as the first character and need an extra md5().
$stored_hash = substr($account->pass, 1);
$password = md5($password);
}
else {
$stored_hash = $account->pass;
}
$type = substr($stored_hash, 0, 3);
switch ($type) {
case '$S$':
// A normal Drupal 7 password using sha512.
$hash = _password_crypt('sha512', $password, $stored_hash);
break;
case '$H$':
// phpBB3 uses "$H$" for the same thing as "$P$".
case '$P$':
// A phpass password generated using md5. This is an
// imported password or from an earlier Drupal version.
$hash = _password_crypt('md5', $password, $stored_hash);
break;
default:
return FALSE;
}
return ($hash && $stored_hash == $hash);
}
清楚地写着“//使用 sha512 的普通 Drupal 7 密码。”
【讨论】：
这里是 Drupal 7 的示例哈希：
“通过”：“$S$Dxl65W9p07LfQU7jvy5CnsyDpMoLujiAgzy123khcg1OJi/P9pKS”
字符 0-2 是类型（$S$ 是 Drupal 7）
然后使用 base64 将二进制结果转换为字符串。
$count = 1
$hash = hash($algo, $salt . $password, TRUE);
做 { $hash = hash($algo, $hash . $password, TRUE);
} while (--$count);
整个过程可以在： mydrupalsite\includes\password.inc
【讨论】：
Drupal 8 和 Drupal 7 默认使用带有盐的 SHA512。他们通过 PHP 的 hash 函数多次运行哈希，以增加生成密码最终哈希的计算成本（一种称为 stretching 的安全技术）。
使用 Drupal 8，实现是面向对象的。有一个PasswordInterface 定义了一个哈希方法。该接口的默认实现在PhpassHashedPassword 类中。该类的hash 方法调用crypt 方法，传入SHA512 作为散列算法、密码和生成的盐。该类的 crypt 方法与 Drupal 7 的 _password_crypt() 方法几乎相同。
使用 Drupal 7，实现分为几个全局函数：user_hash_password() 和 _password_crypt()。
Drupal 6 使用没有盐的 MD5。相关函数为user_save()。
【讨论】：