生成PostgreSQL用户密码

Question

我试图从Python生成postgres使用密码hashlib。

>>> import hashlib
>>> hashlib.md5("psql123").hexdigest()
2636d1ddc54901f98d011ffe050c0eb7

但是postgresql需要md5前缀，所以

sudo -u postgres psql
ALTER USER postgres PASSWORD 'md52636d1ddc54901f98d011ffe050c0eb7';

但是，如果我将其psql123用作密码，则身份验证将失败。

如果我使用passlib，我很好。参见http://pythonhosted.org/passlib/lib/passlib.hash.postgres_md5.html

可以使用以下psql123密码作为密码。

ALTER USER postgres PASSWORD 'md556074e7318bd4cee558faab0678a2fad';

我不明白警告中passlib要说的是什么。可以为postgres用户使用此哈希吗？另外，它在文档中的什么地方说username必须是输入的一部分？

我认为这就是为什么postgres无法理解的结果的原因hashlib。作为LDAP用户，我可以在外壳程序中生成一个密码。postgres是否具有内置命令来执行此操作？是否psycopg2有？看起来好像没有。

Answer 1

Postgres的密码哈希非常接近您所做的事情，只需要包括以下用户名：

 pghash = "md5" + hashlib.md5(password + username).hexdigest()

AFAIK，postgres文档根本没有真正记录这种哈希格式，并且似乎假设管理员很少会直接处理这些哈希值：(没有生成这些哈希值的内置方法，我知道。如果密码提供给ALTER USER命令不符合postgres哈希格式，它假定密码尚未被哈希，并在内部进行处理-根据CREATE
ROLE
的ENCRYPTED关键字的文档进行。（恕我直言，这是一种有缺陷的行为，因为如果哈希值取决于用户名，这意味着无法在不同帐户之间复制和粘贴哈希值，在重命名帐户时会中断哈希值，并且（从熵的角度进行猜测）只有约6位有效盐）。

passlib文档顶部有关哈希的警告可能更清楚了。旨在警告浏览passlib文档的人们：1）此哈希非常不安全，2）他们不应该将其用于自己的应用程序中，以及3）仅适合与postgres用户帐户，因为它是postgres支持的最强大（也是唯一）的哈希格式，它支持自己的帐户。

（如果您尝试使用postgres对自己应用程序的用户帐户的密码进行哈希处理，那么我强烈建议Clodoaldo建议通过pgcrypto扩展名使用bcrypt）。