hash - 可以将用户的盐与密码哈希保存在同一个表中吗？

Question

没问题而且没用吗？它可以保存在另一个表甚至另一个数据库中。

你怎么认为？

附言为了更高的安全性，我也有恒盐“花生”。它是保存在配置文件(而不是数据库)中的常量值。因此，如果黑客想以某种方式破解密码，他还需要访问文件服务器和数据库。

Answer 1

是的，可以将每个用户的 salt 存储在存储密码哈希的同一个表中( 不是密码本身 ) - 即使对手可以访问原始数据库数据，他仍然需要分别尝试每个用户的盐+密码；将盐存储在另一个表中并没有真正增加任何重要的安全性(如果您假设对手可以访问数据库，那么假设他只能访问其中的一部分对我来说没有多大意义)。

如果您使用 salt+peanuts+password 来创建密码哈希，那么我会说您的设计比 80% 的系统更安全——也就是说，相当安全，不会过度偏执。

但是请注意，如果您实际上以可恢复的形式(加密或明文)存储密码，那么您就将任何安全性抛在了一边 - 盐和散列的全部意义在于您是 不以可恢复的形式存储密码 .如果您确实存储了密码，那将是您系统中最薄弱的环节，这将是完全不安全的。澄清一下:用户表应该只包含 盐 和 哈希盐+花生+密码，永不密码本身。