java - 在 Java 和 PHP 中使用 PBKDF2

Question

我在 Java 和 PHP 上使用 PBKDF2 算法生成相同的加密密码时遇到一些困难。

我正在使用以下 Java 实现生成具有 16 字节大小的随机字节数组的散列。然后我将散列和盐分别存储在 MySQL 数据库中，但是当我使用从数据库中检索到的盐在 PHP 中执行相同的操作时，我得到几乎完全相同的加密，除了散列有前导 0 和我我这辈子都想不通为什么。

Java:

public String hashPassword(String password, byte[] salt){

 char[] passwordChars = password.toCharArray();

     PBEKeySpec spec = new PBEKeySpec(
         passwordChars,
         salt,
         ITERATIONS,
         KEY_LENGTH
     );
     SecretKeyFactory key = null;
    try {
        key = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA1");
    } catch (NoSuchAlgorithmException e) {
        e.printStackTrace();
    }

    byte[] hashedPassword = null;

    try {
        hashedPassword = key.generateSecret(spec).getEncoded();
    } catch (InvalidKeySpecException e) {
        // TODO Auto-generated catch block
        e.printStackTrace();
    }
     return String.format("%x", new BigInteger(hashedPassword));

}

我在 https://adambard.com/blog/3-wrong-ways-to-store-a-password/ 找到了上面的代码

PHP:

$query = $database->query('SELECT * FROM USERS');

$password = 'hello';
$iterations = 1000;

foreach($query as $user){
    $hash = hash_pbkdf2("sha1", $password, $user['salt'], $iterations, 40, false);

}
echo $hash;

注意:数据库中只存储了一个用户，我知道上面的代码不是很好，我为了测试目的快速创建了它。

对于这两种实现，我使用的迭代次数为 1000，Java 中的 key 长度为 160，PHP 中的 key 长度为 40(以补偿将原始输出设置为 false)

Java Output - 971f0dddc1bc2e899f2bca178f16ea79bfbbb13
PHP Output - 0971f0dddc1bc2e899f2bca178f16ea79bfbbb13

非常感谢任何帮助，谢谢。

Answer 1

它是杀死前导 0 的 BigInteger。

哈希不是整数，它们是一个 8 位字节的数组。不要尝试转换为 BigInteger。

将其用作 byte[] 或编码为十六进制或 Base64 字符串。匹配PHP十六进制编码hashedPassword。

PHP 正在返回十六进制字符串编码哈希，因为 raw_output 设置为 FALSE。