security - 您会让哪些字符作为密码无效？

Question

假设情况:您已经实现了一个密码处理系统，并且它对可以使用的字符没有任何限制。您想要设置一些规则，在两件事之间实现合理的妥协 -

1. 给予用户尽可能多的自由。
2. 考虑到您将来可能会更改处理密码的方式 - 您不想排除合理的实现方式，因为您用户的现有密码将变得无效。

您会施加什么规则？还有其他因素可能影响您的选择吗？

Answer 1

永远不要施加任何限制。在我看来，您计划存储密码，而不是哈希值。也不要这样做。相反，存储 salt以及密码和所述盐的散列组合。

但是，您可以通过对长度(例如，不少于 6 个字符)和组成密码的字符(例如，它应该包含小写和大写字母字符，一位或两位数字以及几个非字母字符(例如 ^ 或 #)。