php - 使用 bcrypt(md5(pwd) + salt) 是一种不好的做法吗？

Question

我正在尝试在我的应用程序和 IPB 论坛之间共享登录信息。

我看到 Invision 提供了一个模块来共享凭据:IPS Connect

为简单起见，有一个主应用程序和一个或多个从属应用程序。从站正在发送主站需要通过 API 存储的凭据。

内容是，对于 register 或 login 方法，IPB 正在发送密码的 md5 散列。我无法将 md5 存储在我的数据库中，所以我想在 md5 哈希上使用 bcrypt 来做类似

$storedPassword = bcrypt(md5(pwd) + salt);

您如何看待这种替代方案，在 md5 哈希之上使用 bcrypt 进行哈希是一种好的做法吗？

Answer 1

尽管在您的应用程序中使用 $storedPassword = bcrypt(md5(pwd) + salt); 非常好，但在安全方面它没有什么好处。也不需要将您自己的盐添加到加密中。 bcrypt 将在内部处理，您不需要在任何地方保存盐。

攻击者以最薄弱的链接为目标，如果其他服务器只使用 md5，他们就可以攻击该站点以获取密码，然后无论您保护它的强度如何都无关紧要。

不过话又说回来了。关上一扇门仍然比敞开一切要好。