如何将密码与哈希密码和盐密码进行对比检查？

Question

如果用户创建了一个新密码，并通过哈希算法存储在数据库中，则在用户登录时可以将其与用户输入的密码进行匹配。输入到登录屏幕的密码将被哈希化，然后检查它是否与存储的哈希匹配。如果是，则允许用户访问。

然而，如今，密码是经过哈希和盐处理的。因此，当用户第一次注册密码时，它会经过一个散列，然后会被加密10000次以上。这个salt与后端代码生成的关键字相同，还是每次salt都随机生成？

当用户输入密码登录时，它如何匹配哈希和加盐密码，如果每次加盐都是随机的，肯定会得到不同的哈希？这就是为什么即使两个用户输入相同的密码，他们最终会得到不同的哈希。

Answer 1

好问题！

因此，当用户第一次注册密码时，它会经过一个散列，然后会被加密10000次以上。这个salt与后端代码生成的关键字相同，还是每次salt都随机生成？

加盐和哈希单词的实际机制因实现而异。然而，salt背后的一般想法是，为每个存储的密码生成一段称为salt的随机信息。然后，存储的值从密码本身以某种方式与salt混合的散列中派生出来。可能是您对密码进行哈希运算，然后将哈希运算与salt进行多次组合，或者您只是将密码和salt串联在一起，并对其进行多次哈希运算。

要使此过程正常工作，必须为每个密码指定不同的salt。如果每次都使用相同的salt，那么在对同一密码进行哈希运算并将其与salt组合后，它的每个副本看起来都是相同的。这会泄露信息，这不是一件好事。

当用户输入密码登录时，它如何与哈希和salt密码匹配，如果每次salt都是随机的，那么肯定会以不同的哈希结束？

当服务器检查密码时，它需要访问存储密码时使用的salt。否则，它无法从密码中重新计算存储的值。盐通常就存储在最后的哈希旁边。这个想法是，盐不是秘密，密码是秘密，所以把它放在旁边就可以了。

这就是为什么即使两个用户输入相同的密码，他们最终也会得到不同的哈希值。

是的，每个密码都使用不同的盐存储。每个盐都是随机生成的，但随后与最终的密码哈希一起存储。