无法使用随机生成的盐验证 md5 哈希密码？

Question

我意识到这并不安全，但我想这样做。

我有这段代码可以根据用户的输入生成密码 ($password)...

$salt = mcrypt_create_iv(22, MCRYPT_DEV_URANDOM);
$new_password = md5($salt . $password);
$new_password = $salt . $new_password;

这就是我尝试检查保存的密码的方式：

$split_salt = substr($saved_password, 0, 22);
$incomplete_password = md5($split_salt . $current_password);
$hashed_password = $split_salt . $incomplete_password;

if ($saved_password != $hashed_password) {

    $error = "error";

} else {

     //Validated

}

据我所知，这应该可行。但是，我得到的是错误而不是验证。这是否与 MCRYPT 不能准确生成 22 个字符有关？

Answer 1

我知道这不是您想听到的，但您的方案非常不安全，而且一个好的解决方案实施起来非常简单，您应该重新考虑：

// Hash a new password for storing in the database.
// The function automatically generates a cryptographically safe salt.
$hashToStoreInDb = password_hash($password, PASSWORD_DEFAULT);

// Check if the hash of the entered login password, matches the stored hash.
// The salt and the cost factor will be extracted from $existingHashFromDb.
$isPasswordCorrect = password_verify($password, $existingHashFromDb);

你的实际问题是盐，mcrypt_create_iv() 将返回一个二进制字符串，它可以很好地包含 \0 字符。因此，无论您的方法是否有效，纯属运气。