我使用 Django（2.0 版）作为新手，忘记了管理员超级用户密码。我知道我可以创建另一个超级用户并更改前一个超级用户的密码。但是有什么程序可以知道我忘记的前一个超级用户的 RAW 密码吗？
问问题
7622 次
1 回答
9
默认情况下，密码不会以原始文本形式存储在数据库中，而是经过哈希处理。这意味着，鉴于散列算法是一个很好的算法，并且间隙定理成立，除了枚举所有可能的密码之外，您无法找到密码。许多散列算法都有一些弱点，但这通常没有多大帮助：例如，它使猜测有时快 10 或 100 倍，但仍然需要很长时间才能猜出正确的一个。
散列意味着我们因此有一个h被认为是一个很好的散列函数的函数，它将密码转换为某些数据，并将该数据存储在数据库中。相同的密码应该会产生相同的散列数据，通常输入（密码）中的微小变化会导致输出（我们存储的数据）发生很大变化。一个好的散列函数具有计算逆不可行的性质：这意味着不应该有直接的方法来根据输出（存储的数据）计算输入（密码），除非枚举所有可能的输入，直到这种“猜测”的输出最终与哈希匹配。如果用户登录，Django 将首先计算给定密码的哈希值，然后检查它是否与存储的哈希值匹配。如果是，则登录成功，如果不是，则登录失败。
这意味着（恶意）数据库管理器也无法看到密码。想象一下，您对所有应用程序使用相同的密码（无论如何不推荐），如果其中一台服务器将密码存储为原始文本，则有权访问数据库的人（黑客或公司员工）可以看到密码，并且因此旨在将这些凭据用于其他服务（例如电子邮件服务）。通过散列，损害通常更本地化（也许黑客可以窃取用户数据，但不能重用凭据以在其他地方发现更多数据）。
不过，如果您有权访问 Django 管理 shell，则只需将密码更改为给定的密码即可。由于 Django 可以访问数据库（假设您在某处提供了数据库密码），它可以简单地用新密码的散列版本覆盖密码字段。无论旧密码是什么，新密码都可以使用。
您可以通过运行：
python3 manage.py changepassword <username>
使用<username>管理员用户的名称。
于 2018-07-18T15:04:05.380 回答