php - 我应该使用 urandom 还是 openssl_random_pseudo_bytes？

Question

我正在用 php 5.4 开发一个站点，我想知道使用哪个来生成随机盐以确保密码安全性更好？

$salt = sha1(openssl_random_pseudo_bytes(23));

或

$seed = '';
$a = @fopen('/dev/urandom','rb');
$seed .= @fread($a,23);
$salt = sha1(seed);

或者我应该选择:

$salt =  openssl_random_pseudo_bytes(40);

或

$salt = '';
$a = @fopen('/dev/urandom','rb');
$salt .= @fread($a,23);

Answer 1

出于安全目的，您最好使用 openssl_random_pseudo_bytes。 OpenSSL 负责收集足够的熵来为您提供良好的随机性。 /dev/urandom 被设计为从不 阻塞并且可能会被欺骗给你不那么随机的字节。

对于随机字节，您不需要通过 SHA1 运行它们。

总而言之，做:

$salt = openssl_random_pseudo_bytes(40, $cstrong);
if (! $cstrong) {
    exit('This should not happen');
}