php - 密码、盐和授权

Question

如果我有一个随机的、16 个字符长的字母数字盐(不同大小写)，它是为每个用户生成和存储的，我是否还需要一个站点范围的盐？

换句话说，这样好吗？

sha1($user_salt . $password)

我应该这样做吗？

sha1($user_salt . $password . $site_salt)

此外，

目前，我有一个加密的 cookie，它在数据库中查找 session 。在这个 session 中，有一个 user_id 和一个 user_token。然后我使用 user_id 查询数据库——如果 user_id 的 sha1+DB 中的哈希 === user_token，则允许用户通过。

我在每次加载页面时都会对 user_id 进行第二次查询，这样如果我删除、禁止或更改用户的密码，该操作会立即生效。

这就是我在浏览网站和此处的问题时得出的结论。你怎么认为？我错过了什么吗？

我需要添加角色检查，但这可能会添加另一个查询(第三个查询仅用于身份验证)。有什么建议吗？

Answer 1

不，您不需要全站盐。盐被用来使彩虹 table 变得无用。如果您真的愿意，可以使用站点范围的盐，但我认为没有必要。

我认为，如果您的数据库遭到破坏，并且有人意识到您的密码被加了盐，他们就会转移到下一个安全性较低的站点(当然，除非您正在运行一个值得黑客入侵的站点 - 很可能是您不是 :P )