如何安全地存储用户的密码？

Question

如何安全地存储用户的密码？

这比平淡有多安全？MD5？我刚开始调查密码安全问题。我对PHP非常陌生。

$salt = 'csdnfgksdgojnmfnb';$password = md5($salt.$_POST['password']);$result = mysql_query("SELECT id FROM users
                       WHERE username = '".mysql_real_escape_string($_POST['username'])."'
                       AND password = '$password'");if (mysql_num_rows($result) < 1) {
    /* Access denied */
    echo "The username or password you entered is incorrect.";} else {
    $_SESSION['id'] = mysql_result($result, 0, 'id');
    #header("Location: ./");
    echo "Hello $_SESSION[id]!";}

Answer 1

如果您使用参数化查询而不是连接SQL语句，您的用户将更加安全。和盐应该是唯一的每个用户，并应与密码哈希一起存储。

Answer 2

一个更好的方法是让每个用户都有一个独特的盐。使用SALT的好处是，攻击者很难预先生成每个字典单词的MD5签名。但是，如果攻击者了解到您有固定的盐，那么他们就可以预先生成由固定盐前缀的每个字典单词的MD5签名。一个更好的方法是，每次用户更改密码时，您的系统就会生成一个随机盐，并将该盐与用户记录一起存储。这使得检查密码变得更加昂贵(因为您需要在生成MD5签名之前查找SALT)，但它会使攻击者更难预先生成MD5。