security - 是否应该加盐并散列对用于丢失密码的挑战问题的响应？

Question

如果您在数据库中对密码进行加盐和哈希处理，您是否也应该这样做来回答临时密码生成期间使用的挑战问题？

谢谢，

JDelage

Answer 1

这取决于你想用存储的响应做什么。如果您只想将其与用户提供的响应进行精确比较，将其存储为加盐哈希就可以了，强烈建议这样做。

但是如果您允许一个几乎正确的答案(例如区分大小写或遗漏空格)，您将需要原始字符串进行比较。此外，如果您有支持用户重置密码的帮助台，您可能希望他们能够比较答案。在这种情况下，您将需要原始字符串，散列是无用的。您的决定取决于您在密码重置过程中可能需要原始字符串的用途。

如果您无法避免以明文形式存储信息，您应该对密码重置实现额外的限制，例如在更改密码之前向经过验证的电子邮件地址发送授权链接。