javascript - 为什么即使没有 salt 参数，哈希比较输出也为 true？

Question

我使用 bcrypt-nodejs 在我的 Node.js 应用程序中生成哈希，如下所示:

           var complete_string = "login" + "user@gmail.com";
           var salt = "89Uhfdsua8aHK";
           var hash = bcrypt.hashSync(complete_string, salt);

然后我尝试使用以下命令检查该字符串的哈希值是否正确:

           bcrypt.compareSync(complete_string, hash)); // true

但是为什么即使我没有给它任何 salt 参数，compareSync 函数也会输出 true 呢？

Answer 1

如果您检查 hash，您会注意到 hashSync() 将盐添加到输出中:

const bcrypt = require('bcrypt-nodejs');
const complete_string = "login" + "user@gmail.com";
const salt = bcrypt.genSaltSync(2);
console.log("salt: " + salt);
const hash = bcrypt.hashSync(complete_string, salt);
console.log("hash: " + hash);
console.log("compare: " + bcrypt.compareSync(complete_string, hash));

输出:

salt: $2a$10$k/a9i/zMGnzx5VKjmhXySO
hash: $2a$10$k/a9i/zMGnzx5VKjmhXySO.sx6fcIPsdbej1pVVcKLy9TbNK.2aLm
compare: true

正是出于这个原因，通常将盐与哈希值一起存储，以便稍后可以验证哈希，而不必将盐作为单独的值传递。 bcrypt 库恰好为您执行此操作。