sql-server-2005 - GUID是好盐吗？我的注册/登录过程有什么缺陷吗？

Question

如果我的数据库内部表如下所示：

 userid uniqueidentifier
 username varchar(20)
 password varbinary(max)

当用户提交（注册）时，我将用户/通行证发送到存储过程。

存储过程将创建一个新的GUID（使用 NEWID()），然后使用SQL Server的 HashBytes（sha1）函数根据提供的GUID +密码创建密码，然后将值插入上表。

当用户提交（登录）时，我将用户/通行证发送到存储过程。

存储过程将查找用户名并获取用户ID，以将guid + password的hashbyte（sha1）与password字段进行比较。

您看到该逻辑内部有任何缺陷吗？

Answer 1

那是很标准的-加盐就可以了。加盐的目的是防止Rainbow attacks，并且对于每个用户而言，几乎所有随机值（即使不是随机值，至少是不同的值）都可以解决问题。