php - 存储 secret 问答 - 散列或纯文本。

Question

我的密码使用的是 sha512，但 secret 问题和答案是纯文本。问题是:我需要散列 secret 答案吗？如果是这样，它使用什么数据类型，它仍然是 char(128) 吗？我假设 secret 问题必须是纯文本，对吗？

Answer 1

只是去掉 secret 问题，它们是毫无意义的措施:

1. 它们不会增加安全性，它们实际上会降低安全性，因为很容易找到答案，尤其是因为正如您所说，周围会有愚蠢的用户使用“你最喜欢的宠物是什么？”作为一个“ secret ”问题。
2. 他们可能会感到沮丧，因为您在尝试恢复密码时拼写答案可能略有不同(或大写/小写)。
3. 如果您的密码经过哈希处理，您将无法将密码返还给用户，您必须向他/她发送一封包含新密码或更改密码链接的电子邮件，所以为什么不直接让用户使用首先输入他的电子邮件地址？
4. 这只是注册时要填写的另一个额外字段。已经有太多...