PHP哈希登录问题

Question

在密码散列方面，我有点像n00b，所以对我来说很简单。基本上，我已经整理了一些代码，首先清理用户在注册时输入的字符串。一旦完成，就会生成随机盐。然后将密码附加到salt：

  $salt = bin2hex(mcrypt_create_iv(32, MCRYPT_DEV_URANDOM));

    $saltedPW =  $p . $salt;

然后，我使用sha256对密码进行哈希处理，然后继续将用户插入数据库，这似乎都正常工作：

   $hashedPW = hash('sha256', $saltedPW);

    $q = "INSERT INTO user (id, name, email, password, verified, user_level, salt) VALUES
    (NULL, '$n', '$em', '$hashedPW', 'no', '1', '$salt')";

    $r = @mysqli_query ($dbc, $q); //run the query

然后，当涉及到用户登录时，我再次清理用户输入的字符串，从数据库中获取salt并将其分配给变量，然后将密码附加到该变量，如下所示：

       $saltQuery = "SELECT salt FROM user WHERE email = '$email'";

        $result = mysqli_query($dbc, $saltQuery);

        $row = mysqli_fetch_assoc($result);

        $salt = $row['salt'];

        $saltedPW =  $password . $salt;

然后，像以前一样，使用sha256对加盐密码进行哈希运算，我尝试从数据库中获取用户信息:

    $hashedPW = hash('sha256', $saltedPW);

      $query = "SELECT * FROM user WHERE email = '$email' AND password = '$hashedPW'";

        $r = @mysqli_query ($dbc, $query);

但是，登录失败了，当我打印出查询结果时，我得到了以下结果，当我假定密码应该等于用户输入的字符串时，在本例中是用于测试目的的“password ”:

  SELECT * FROM user WHERE email = '[e-mail]' AND password = '5e884898da28047151d0e56f8dc6292773603d0d6aabbdd62a11ef721d1542d8'

你能看到我做错了什么会导致登录失败吗？谢谢

Answer 1

SHA256是一个消息摘要，而不是一个密码散列函数，因此您当然不应该这样使用它。

密码学很难，要做好它就更难了——正因为如此，您应该避免使用自己的加密函数，而使用经过验证的函数，如bcrypt或较新的scrypt。

PHP通过password_hash函数提供对bcrypt alogirthm的访问，该函数自动生成盐并使用比SHA256更高程度的安全性加密密码。您可以这样使用它：

$hashedPassword = password_hash($password);

然后，当用户登录时，您将使用相同的函数对他输入的密码进行哈希处理，并从数据库中检索该用户。