salt - 来自 "email+salt "的哈希作为验证电子邮件的 token

Question

我正在验证用户电子邮件地址。
大多数人告诉的方式是创建一些独特的 token 并将其存储在 db 中
发送给用户。

我只是用全站盐散列(sha256)电子邮件地址来做这件事
并将此哈希发送给用户。

我是否遗漏了什么或者这足以验证？

Answer 1

一些可能值得一看(或不值得)的东西。

如果有人发现了您的盐，那么他们可以重建您的哈希值并淹没您的系统。在这种情况下，您需要确保用户请求将他们的电子邮件地址添加到您正在创建的任何内容中。 (也就是说，我不会完全摆脱将哈希存储在数据库中。)

此外，如果盐相同，如果他们再次从同一电子邮件地址请求，哈希值将相同。您是否希望每次发出请求时都使用不同的哈希值，即使是相同的电子邮件地址？您可以将服务器日期/时间连接到电子邮件地址，然后再对其进行散列以使其每次都不同。