这是在 PHP 中存储密码的坏习惯吗？答案

【问题标题】：Is this a bad practice for storing passwords in PHP?这是在 PHP 中存储密码的坏习惯吗？
【发布时间】：2015-09-06 02:29:37
【问题描述】：

我正在使用 PHP 中的 crypt 函数来散列密码，显然还有盐。但是我通过在 date 函数上调用 md5 函数来生成我的盐。并且每次用户登录盐都会重新生成。

这有什么不好的吗？我对 PHP（和 webdev）还比较陌生，我正在尝试在部署此代码之前确保我的安全性。

$salt = md5(date('m/d/Y h:i:s a'));

【问题讨论】：

为什么不直接使用password_hash()，PHP5.5 提供？ PHP（5.3.7+）也有shim for earlier versions。 PHP Reference
考虑阅读这篇文章：crackstation.net/hashing-security.htm。它包括很好的讨论和一个示例 PHP 实现。
查看this answer 并阅读有关密码哈希的部分。

【解决方案1】：

许多人认为这是不好的做法。以下是（部分）原因：

您正在使用 md5，一种弱、旧且快速的哈希计算方法。
盐是以可预测的方式生成的。每个用户的盐应该不同（即使在同一秒注册），并且应该比日期更随机。
您正在重新发明轮子。您正在使用 crypt 函数对密码进行哈希处理，因此没有理由不使用它来获取安全的盐。 password_hash() 是 PHP 5.5 的内置函数，compatibility library 用于稍早于该版本的版本。

TL;DR：使用password_hash() 生成盐并对密码进行哈希处理，无需以不太安全的方式重新发明轮子。

Hobo Sapiens 首先提到了password_hash()。

【讨论】：