Question

import bcrypt

hashedstring = bcrypt.gensalt()
password = bcrypt.hashpw(password,hashedstring)

我是否应在数据库表现场每次停播一次,以便下游击??

或者,我是否在法典中使用静态的预示?

Answer 1

您用来洗刷密码的盐类储存在由此产生的散草中,这意味着没有必要储存在数据库中,因为可以从散仓中回收。

根据项目页,可以这样做:

# Store a hash.
import bcrypt
hashed = bcrypt.hashpw(password, bcrypt.gensalt())
store_in_db(user, hashed) #Where user is the user to load the hash for, and store_in_db does what it says on the tin.

# Check against an existing hash
import bcrypt
hashed = load_from_db(user) # (get the password of the user from database) Where user is the user to load the hash for, and load_from_db does what it says on the tin.
if bcrypt.hashpw(password, hashed) == hashed: # Where password is a plaintext password attempt.
        print "It matches"
else:
        print "It does not match"

是的,你应使用不同的盐类,而Brypt的盐价设计鼓励使用。

Answer 2

Short answer: Use a new salt for each password. (EDIT: with bcrypt you needn t store the salt separately)

如果攻击者从一个网站获得密码数据库,就会想象。如果所有密码都使用共同盐,那么攻击者就能够轻易地找到使用共同密码的人:

hashedpwd = somehash( swordfish  + salt)

然后,只需要一个数据库查询,以找到把箭鱼当作密码的人。用户中总是有相当共同的密码。

另一方面,如果每个密码都有自己的盐类,数据库有100万个密码,攻击者必须计算100万海里,以便只检查一个密码,从而更加安全。

友情链接