php - 使用哪种方法来加密MySQl数据库中的密码？

This question already has answers here:

Secure hash and salt for PHP passwords

                                    （14个回答）


                                2年前关闭。


我一直在研究将密码加密到mySQL数据库中的最佳方法，但是我无法指出密码的最佳加密方法。

md5(）被认为是有缺陷的，原因是我不知道各种安全原因，但是WordPress已以某种方式使用了它。为什么这么批评这个功能？
sha1()只是受md系列启发的另一个函数，具有更高的计算复杂性。
似乎建议使用password()。
和MySQl中的PASSWORD()
然后，新功能hash()在PHP 5.1.2中开始使用。及更高版本

MySQl PASSWORD()与上述其他php函数有何不同？

最佳答案

首先，请注意，大多数人不会（如您所写的那样）将密码加密到他们的数据库中。加密（对称或非对称）意味着可以再次解码数据。加密密码将是一个非常糟糕的概念（至少如果所有密码都有一个通用密钥），因为解密密钥必须存储在某个地方，并且如果攻击者将其保存，他可以立即解密所有密码。

您要执行的操作称为散列。通过将散列函数应用于密码，可以从密码派生密码的哈希。这里的关键点是该过程无法还原，即没有数学方法可以从哈希中取回密码。

话虽如此：

不推荐使用MySQL的SET PASSWORD和PASSWORD()。 They will be removed in future versions of MySQL.如果您希望您的应用程序与MySQL的将来版本一起运行，请不要使用SET PASSWORD和PASSWORD()。
MD5和SHA1绝对不是走的路。他们被认为是坏的。
从数学意义上来说，SHA-2系列（例如SHA256，SHA512）被认为是安全的。但是，它具有较低的计算成本/较高的速度，并且当今的消费类GPU每秒可以计算数十亿个SHA-2哈希值。因此，对于散列密码，其他散列函数（如bcrypt，pbkdf2或scrypt（这是我目前的最爱））是合适的。它们被设计为缓慢的（可以调整的缓慢程度，这在将来是一个很大的优势），并且（在使用scrypt的情况下）消耗大量内存，这使得基于硬件（ASIC，FPGA）的攻击更加困难。

我不了解PHP，但是大多数语言都具有称为crypt()或encrypt()之类的函数，该函数使用基础O / S的crypt() API（在Linux：glibc中），因此可以将其用作一个起点，但前提是它已经提供了一种慢速哈希算法（多数情况并非如此）。

MySQL有一个称为ENCRYPT()的函数，该函数也使用操作系统的crypt()，but it is deprecated as well。 MySQL也有一个SHA2() function，但是如上所述，这可能还不够。不幸的是，MySQL（AFAIK）没有提供BCRYPT()，PBKDF2()，SCRYPT()或任何其他众所周知的慢速散列函数。

由于您应该使用一种慢速哈希算法，并且由于操作系统的crypt()（在大多数情况下）和MySQL都不提供任何一种算法，因此您应该在后端应用程序中进行哈希处理。如上所述，我不了解PHP，但是我很确定至少有一个众所周知的慢速散列算法的实现（它不依赖于底层操作系统的/ libc的crypt()）。

顺便说一下，哈希算法的各种实现之间的结果不会有差异。例如，如果您使用自己喜欢的编程语言将SHA512应用于字符串，则结果将与使用MySQL将SHA512应用于同一字符串时的结果相同。其他散列算法（包括慢速散列算法）也是如此。但是，可能会有性能差异。

这基本上意味着，如果您现在在应用程序后端进行哈希处理，则只要MySQL提供了您正在使用的慢速哈希算法，您就可以稍后在MySQL中进行哈希处理。您可以在应用程序后端的哈希与数据库的哈希之间来回切换，而不必重新计算所有存储的哈希并且不会丢失数据。

其他经验法则：

在您完全理解我提供的所有参考文献之前，甚至不要考虑实现自己的登录名/密码系统。
如果由于某种原因而被迫使用除慢速算法以外的任何其他哈希算法，请始终使用salting，当然每个密码使用不同的salt。尽管有些人宣称这是没有用的，但我不这么认为。它仍然会使攻击更加困难（与不加盐的哈希相比）。但是，与针对慢速哈希算法之一的攻击相比，针对快速哈希算法（例如SHA-2系列）的攻击（无论是否使用盐）的攻击仍然非常容易和高效。

最后，here is a blog entry应该会让您入门。这会让您对重要内容有一种感觉，但是您将需要做进一步的研究（现在已经四年了……）。

关于php - 使用哪种方法来加密MySQl数据库中的密码？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/46020448/

上一篇：mysql - 合并 2 个表中具有相同名称的 2 个 Column

下一篇：mysql - 如何通过 SQL 查询从表中提取最后 5 个条目？

相关文章：

php - mysql 插入时触发

javascript - 我们如何将验证应用于 WordPress 插件的任何字段

css - 使用 CSS 给链接加下划线

php - 对具体回复进行计票

php - 如何在 PHP 中验证 MYSQL 日期？

php - 将查询转换为 PHP 中的 if 语句

javascript - 如何在自定义过滤器函数中添加两个输入值

javascript - 将 JavaScript 变量值作为 PHP 函数的参数

c# - Entity Framework 4.1 无法创建 MySQL 数据库

mysql - 如何在mysql中定义一个100亿行的key/value表？