language-agnostic - 硬编码的密码应该加盐/散列吗？

Question

StackOverflow 上有很多关于简单的、无数据库的登录系统的问题。我正要在 a recent one 上建议一种加盐哈希方法，当我想:“这样做真的有意义吗？”。

多年来，我一直在数据库上存储加盐哈希，我明白为什么它更安全:如果数据库遭到破坏，它包含的信息将不允许任何人登录我的系统(与我在数据库中存储纯文本密码不同) D b)。

但是在不涉及数据库的设置中，散列+加盐是否提供任何安全优势？我能想到的唯一原因是，如果攻击者获得了对我的服务器端代码的只读访问权限，就不可能找出任何密码。这是一个可能的场景吗？因为一旦攻击者获得对文件的写访问权限，他就可以做任何事情。

所以我的问题是:当设置非常简单的、无数据库的登录系统时，密码应该加盐/散列，还是只存储为纯文本？

Answer 1

是的，它仍然为哈希提供了好处 和盐 他们。如果脚本的源代码被泄露，人们可以简单地使用硬编码密码或谷歌作为哈希值，并可能找到输入值。使用盐渍哈希两者都不可能。