python - 密码哈希和验证

Question

我现在正在尝试学习密码的哈希和验证，有人告诉我使用模块 passlib 和 pbkdf2。我推荐的代码是:

哈希:

 from passlib.hash import pbkdf2_sha256 
 hash = pbkdf2_sha256.hash("password", rounds=20000, salt_size=16)

验证:

from passlib.hash import pbkdf2_sha256
pbkdf2_sha256.verify("password", hash)

我想我理解这里的所有代码，除了一件事，任何给定密码的哈希值将存储在哪里，主要是如何输入我想要验证的密码，我尝试使用

password = input("Enter a password here: ")

自从我尝试打印哈希值以来，这一直有效，每次我输入相同的密码时，我都会得到相同的哈希值，所以到目前为止，一切正常。

现在，我尝试通过新的输入重置密码，然后在其后添加身份验证代码，认为我已将密码设置为新值，每次输入密码时我应该能够获得 False 值与输入的第一个不匹配，但是，无论第二个输入如何，都会返回 True

这是完整的代码

from passlib.hash import pbkdf2_sha256

password = input("Enter a password:")
hash = pbkdf2_sha256.hash("password", rounds=20000, salt_size=16)
print(hash)

password = input("please enter your password:")

print(pbkdf2_sha256.verify("password", hash))

然后我尝试将第二个密码设置为“password2”，但始终返回 false。

Answer 1

您正在散列和验证文本“密码”，而不是散列和​​验证输入。对变量名称进行细微更改，使其更清楚需要更改的内容:

from passlib.hash import pbkdf2_sha256

password_input = input("Enter a password:")
hash = pbkdf2_sha256.hash(password_input, rounds=20000, salt_size=16)
print(hash)

password_confirm = input("please enter your password:")

print(pbkdf2_sha256.verify(password_confirm, hash))