security - 处理用户帐户身份验证和密码的最佳方式

Question

在系统中处理用户帐户管理而不让有权访问数据库的员工访问帐户的最佳方法是什么。

示例:

1. 将用户名/密码存储在数据库中。这是一个坏主意，因为有权访问数据库的任何人都可以看到用户名和密码。因此使用它。

2. 存储用户名/密码哈希。这是一种更好的方法，但是可以通过将数据库中的密码哈希替换为您知道其身份验证信息的另一个帐户的哈希来访问该帐户。然后在授予访问权限后将其恢复回数据库中。

windows/*nix 如何处理这个问题？

Answer 1

This is a better method, but the account can be accessed by replacing the password hash in the database with the hash of another account that you know the auth info for.

这确实没有办法解决。任何对密码文件具有写入权限的人都可以完全控制计算机。