security - 如何迁移密码哈希？

Question

如果我将密码存储为加盐 MD5 哈希，但想将它们移动以使用bcrypt，那么执行该转换的最佳方法是什么？（鉴于我无法取回密码）

我应该加密 md5 哈希吗？这样做有我不想要的加密含义吗？

Answer 1

通常，网站只是让用户更改密码。如果您将 hash_version 字段添加到您的用户表，您可以跟踪当前的哈希类型。当有 MD5 的人登录时，让他们更改密码。

一定时间后，您可以选择使所有剩余的 MD5 密码过期（强制用户重置以登录）。