那里有更简单的加密/解密哈希算法吗？

Question

我在这个很棒的论坛和其他几个地方读到了用 md5 解密是多么困难，如果不是不可能的话。

不幸的是，我使用 md5 对我们用户的密码进行哈希处理：

 // hash to sanitize the input further
$password = md5($password);

现在，我有点麻烦，因为忘记密码的用户无法使用我们的恢复密码功能。

当他们尝试恢复密码时，他们会收到对他们无用的加密密码，因为他们无法使用它。

考虑到解密 md5 哈希有多么困难，几乎不可能，有没有人可以建议我尝试的更简单的加密/解密机制？

现在几乎在热水中。

Answer 1

不幸的是，我使用 md5 来获取我们用户的密码

这不幸是怎么回事？这就是你应该做的。用户密码应隐藏在单向哈希后面，并且任何人都无法恢复。甚至不是由您作为系统所有者/管理员。

忘记密码的用户无法使用我们的找回密码功能

应该没有这样的“恢复密码功能”。它被称为“重置密码功能”。您可以以管理方式更改用户的密码。但是你应该永远 能够阅读它。

当他们尝试恢复密码时，他们会收到对他们无用的加密密码，因为他们无法使用它。

但是攻击者可以使用它。这就是为什么你一开始就不应该把它发送给任何人。

有没有人可以建议我尝试的更简单的加密/解密机制？

没有比以下更简单的了：

md5($password)

这是一个函数调用。五次击键。 使用起来真的很简单。既然你已经在使用它了，那就太好了。

一旦您停止发布密码哈希，您就可以开始处理用户密码（至少据我们所知）。继续伟大的工作！有吨 的服务不会 正确地隐藏用户密码。感谢您至少尝试一下。

---

注意：正如用户所指出的（这些天比我更熟悉PHP的用户），而直接使用md5()是朝着正确方向迈出的一步，这不是你能做的最好的。

相反，看看 PHP 内置的 password handling functionality。 （或者，如果您使用的是旧的 5.5 之前的 PHP 版本，则有一个 compatibility pack 维护相同的功能。）Jay Blanchard 写了一篇关于其使用的方便文章 here。

概念是相同的，通过单向哈希来隐藏用户密码。但是工具已经有了很大的发展。