我意识到这个话题有时会被提起，但我发现自己还不能完全确定这个话题。
我想知道您如何对哈希进行加盐并使用加盐的哈希？如果密码是用随机生成的盐加密的，当用户尝试进行身份验证时，我们如何验证它？我们还需要将生成的哈希存储在我们的数据库中吗？
有没有什么特定的方法可以生成盐？倾向于使用哪种加密方法？据我所知，sha256 还不错。
当用户进行身份验证时，将哈希“重新加盐”是否是一个想法？最后，重复多次是否有任何重大的安全性提升？
谢谢！
【问题讨论】：
标签： php security encryption hash
答案是不要自己做。使用 bcrypt 可以满足您在 PHP 中的所有需求。
阅读这篇文章，它很容易理解并解释你所问的一切：http://codahale.com/how-to-safely-store-a-password/
bcrypt 会自行考虑散列，并且可以根据需要将其配置为“复杂”，以在被黑客入侵时保持用户密码的完整性。
哦，我们不“加密”密码，我们散列它们。
【讨论】：
您需要同时存储散列和用于计算散列的盐。
如果您想检查输入是否等于原始输入值，您可以使用相同的盐重新计算哈希，并将存储的哈希与新计算的哈希进行比较。如果它们相等，则两个输入值都是相同的（直到某个特定概率）。
哈希算法的选择也很重要。因为有快速散列算法和相当慢的散列算法。并且由于您想要很难找到冲突（至少在蛮力中），请使用较慢的散列算法。
【讨论】：
我想知道你是怎么做到的 加盐哈希并使用加盐的 哈希？如果密码被加密 用随机生成的盐，怎么能 我们在用户尝试时验证它 进行身份验证？我们需要存储吗 我们数据库中生成的哈希为 好吗？
是的。首先生成一个盐，然后从密码和盐生成一个哈希，并将哈希和盐保存在一起。
盐有什么具体的方法吗 最好应该生成？
我怀疑人们是否就更可取的做法达成了共识。我使用 /dev/random。例如
$salt = '$2a$12$'
. strtr(substr(base64_encode(shell_exec(
'dd if=/dev/random bs=16 count=1 2>/dev/null'
)), 0, 22), '+', '.')
. '$';
$hash = crypt($input, $salt);
青睐哪种加密方式 使用？据我所知，sha256 是 很好。
请参阅 Computer Guru 的答案，即如上例所示使用 bcrypt。请参阅PHP manual page on crypt()。如果您的系统上没有 bcrypt，获取它的一种方法是 the Suhosin patch。
有哈希值是个好主意吗 当用户“重新腌制” 认证？
盐只会让字典攻击变慢。如果你有一个不错的随机盐开始，我认为经常更换它不会有帮助。您最好投入精力让用户选择好的密码，经常更改密码并将 Blowfish 成本参数保持在合理的值。
最后，它是否有任何主要的安全性 boost 可以重复很多次？
这个问题属于密码设计领域。我建议你把它留给专家。换句话说：忘记它——只使用最佳的常见做法。
【讨论】：
你通常做的事情是这样的：
salted = HASH(password . key); // DON'T DO IT LIKE THIS
其中 key 是“盐”——存储在配置文件中的密钥。因此，为了破解密码，您需要密钥和数据库，因此最好存储它们 在不同的地方。
因为我展示的架构不够强大，所以最好使用 HMAC 来实现此目的，而不是手写加盐。这样的操作就像 hash 一样简单，PHP 支持。
salted = hash_hmac('sha1',password,key); // <-- this is ok
【讨论】：
三个简单的规则。好的，五个：
【讨论】：