php - 为什么重置后散列不同？

Question

我已经创建了一个整洁的系统来加盐和散列用户密码，如果他们忘记密码，给他们发一封电子邮件以提示重置。

我能够动态地对 $_POST 进行哈希处理，并用存储在他们行中的用户唯一盐对其进行加盐，并将其与存储的哈希密码匹配并登录。当他们重置时他们的密码并尝试重新登录，他们输入的 $_POST 与存储的密码不匹配。这是完全相同的过程。

知道为什么会这样吗？

这是脚本的相关部分:

$query =  "SELECT `encrypted_password`,`salt` FROM `Users` WHERE `Email` = '" . stripslashes(mysql_real_escape_string($_POST['email'])) . "'";
    $request = mysql_query($query,$connection) or die(mysql_error());
    $result = mysql_fetch_array($request);


    $salty_password = sha1($result['salt'] . stripslashes(mysql_real_escape_string($_POST['password'])));

    // SEE HOW THEY COMPARE
    echo "Users real salted pass: " . $result['encrypted_password'] . " / Salty Password to check: " . $salty_password . "<br />";

    $query2 = "SELECT * FROM `Users` WHERE `Email` = '". stripslashes(mysql_real_escape_string($_POST['email'])."' AND `encrypted_password` = '$salty_password'";
    $request2 = mysql_query($query2,$connection) or die(mysql_error());
    $result = mysql_fetch_array($request2);

--编辑---

看看密码是如何重置的可能会有帮助？

$query = "SELECT * FROM `Password_Reset` ORDER BY `id` DESC LIMIT 1";
$request = mysql_query($query,$connection) or die(mysql_error());
$result = mysql_fetch_array($request);

$token = $result['token'];

$alpha = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcedfghijklmnopqrstuvwxyz1234567890";
$rand = str_shuffle($alpha);
$salt = substr($rand,0,40);
$hashed_password = sha1($salt . stripslashes(mysql_real_escape_string($_POST['Password'])));
$user_email = $result['email'];

    if(isset($_POST['sub_settings'])){


        if(empty($_POST['Password'])) {
            $valid = false;
            $error_msgs[] = 'Whoops! You must enter a password.';
        }

        if($_POST['Password'] != $_POST['passwordConfirm'] || empty($_POST['Password'])) {
            $valid = false;
            $error_msgs[] = "Your password entries didn't match...was there a typo?";
        }

        if($valid) {
            $query = "UPDATE `Users` SET `encrypted_password` = '$hashed_password' WHERE `Email` = '$user_email'";

            mysql_query($query,$connection);

Answer 1

看起来您在重置密码时生成了一个随机的新盐，但没有将其存储在数据库中。然后密码检查使用以前的盐。

---

此外，在将密码输入 sha1 之前没有必要对密码进行清理。事实上，使用 stripslashes 和 mysql_real_escape_string 可能会导致问题，因为这两个函数可能会根据 PHP 版本和配置以不同方式转换密码，从而给出不同的哈希值。