解码哈希sha256加密，知盐

Question

我正在为 Web 应用程序制作登录系统。为了在数据库中存储密码，我使用 sha256 对密码进行加密，如下所示：

$salt ="sometext";
$escapedPW="userpass";
$saltedPW =  $escapedPW . $salt;
$hashedPW = hash('sha256', $saltedPW);
echo "<center>".$hashedPW."</center>";

在数据库中，我存储了用户、用户密码以及用于生成哈希和验证用户登录的盐。现在我正在做的功能是向用户发送一封包含您的密码的电子邮件，但是当用户收到电子邮件时，由于存储在 sha256 加密密码中，用户会收到一个长字符串而不是用户应该的密码要知道。

我的问题是有什么方法可以向您发送实际的用户密码而不是密码加密，即，如果我知道盐，有什么方法可以反转 sha256？如果不可能，建议您使用哪种加密方法来完成加密密钥的反向并通过电子邮件将实际密码发送给用户。

Answer 1

正如您问题的 cmets 中所述，反转哈希并不是一个真正的选择。

但是，您可以做的，其他人也可以做。在您的表单发布给您的注册码（例如 register.php）中，您可以让 PHP 脚本通过电子邮件发送密码，然后对其进行加密并将其存储在数据库中。

我想您有某种形式的注册表单，并且该表单据说会将新用户的详细信息发布到另一个（或相同的）php 脚本，不是吗？

例如，如果我的表单说类似<form method="post" action="register.php">

然后在register.php 中我会得到类似的东西

<?php
$username = mysql_real_escape_string($_POST['username']);
$password = mysql_real_escape_string($_POST['password']); /*cleartext*/
$email    = mysql_real_escape_string($_POST['email']);

mail($email,"New account","Your username \"$username\" and your password is \"$password\"");

$salt ="sometext";
$escapedPW="userpass";
$saltedPW =  $escapedPW . $salt;
$hashedPW = hash('sha256', $saltedPW);

mysql_query("INSERT INTO users (username, password, email) VALUES ($username, $hashedPW, $email)")

一些粗略的示例代码。希望对你有帮助！

Answer 2

您绝不应该通过电子邮件发送明文密码。而是按照 cmets 中的建议发送一个有时间限制的一次性“重置密码”链接。

您应该不使用@Henrik 建议的简单哈希。使用标准的可调整工作密码 KDF (PBKDF2,bcrypt,scrypt)

如果您可以使用 PHP 5.5，请使用 standard password hashing functions。有些主机确实支持 PHP 5.5，但您必须寻找它们并要求它。

网络上有很多地方解释了如何正确地做到这一点（例如https://wiki.mozilla.org/WebAppSec/Secure_Coding_Guidelines#Authentication），还有很多地方解释了如何不正确地做到这一点。在您决定推出自己的身份验证系统之前，请花一些时间研究一下。