仅使用密码对用户进行身份验证

Question

我需要为我正在构建的快速应用程序创建一个身份验证系统。客户要求拥有一个仅使用 4 位密码的密码系统。在创建新用户时，我设置了代码来保存和散列 pin 与其余用户信息，并且该项目只是一个内部服务器，因此它不需要处理大量用户。

我的问题是让用户重新登录。我正在使用 bycrypt 对密码进行哈希处理，但 bycrypt 会为相同的字符串生成一个全新的哈希值。

我遇到的问题是通过WHERE hash=hash SQL 搜索来获取用户。但这是行不通的，因为即使密码相同，哈希每次都不同。

我可以获取所有用户并遍历所有用户并使用 bycrypt 的 .compare 方法。但从长远来看，随着用户数量的增长，这不会奏效，而且 bycrypt 的构建需要在 CPU 上花费很长时间来帮助防止暴力攻击。

我还可以构建自己的散列函数。但是，这样就可以了，所以我必须为每个用户存储一个盐，以使每个密码都是唯一的。那么这就带来了相同的字符串没有相同的哈希值的问题。

我知道这很模糊，但我需要一些帮助来想办法通过使用散列密码获取用户来获取用户。

Answer 1

只需将 PIN 存储为纯文本即可。在 4 位 PIN 上使用散列函数只会提供一种虚假的安全感。如果只有 10,000 个可能的输入，即使是故意缓慢的散列函数也很容易暴力破解。

我遇到的麻烦是通过WHERE hash=hash SQL 搜索来获取用户

您是说您甚至不知道此人声称自己是谁，而是使用 4 位密码作为声明和证明？听起来您构建一个系统只是为了伪装安全。