php - 在数据库或 php 代码中使用 bcrypt 散列密码？

Question

我使用 bcrypt for password hashing在我的 php 应用程序中无处不在。但是，仍然可以选择使用 bcrypt in the database或使用 bcrypt in php code .虽然我相信使用 bcrypt 比大多数其他散列选项更好，但是通过数据库中的函数使用 bcrypt 还是通过 php 中的函数使用 bcrypt 更安全？

Answer 1

我会选择第二个选项并在 PHP 代码中计算 BCrypt 哈希。

如果您将密码 放在SQL 语句中，它还有可能泄漏。首先，必须确保与数据库的连接安全，然后它可能最终出现在日志文件中。

如果将 hash 放在 SQL 语句中，您只需要关心到应用程序的安全传输，其余部分都是安全的，因为只有 hash 可以泄漏。作为奖励，您不必关心 SQL 注入(inject)和编码/转义问题。另一个优点是，你是独立于数据库系统的，你也可以支持没有 BCrypt 实现的数据库(大多数数据库不提供 BCrypt 功能，或者只能通过安装扩展)。