问题标签 [password-hash]

我的代码中发生了 ErrorException $user->password = Hash::make(Input::get('password')); 说password_hash()：密码必须是字符串。我正在使用 laravel 框架

让我们对密码进行哈希和加盐：

每次重新加载页面时结果都会发生变化，这是正常的：盐是随机生成的，它可以是：

在前面的代码中，盐似乎无处存放（我错了吗？）。但最后password_verify能够使用哈希检查密码，并且它适用于每个结果，无论盐是什么。

password_verify无需存储即可检查密码是否正常salt？

代码：

结果：

代码：

结果：

代码：

问题：

如您所见，通过将 A 和 B 附加到 21 个字符串，我们创建了两种不同的 22 个字符的盐，但是，哈希是相同的！那就是第22个字符被忽略了？如果它被忽略，那么为什么它要求 22 个字符的盐？

我需要在 Windows 应用程序中生成密码哈希，然后将它们下载到 Linux 设备以插入到影子密码文件中。出于营销原因，使用 PBKDF2 在 Windows 端很有吸引力，因为它提供了一定程度的 FIPS 认证，但我不知道我们如何/是否可以在 Linux 影子密码文件中使用 PBKDF2 哈希。

我知道一个奇怪的要求，但 Windows 应用程序用于离线配置 RBAC。

我对 Linux 几乎一无所知，但我的理解是我们使用 Busybox（包括 crypt）并且不支持 PBKDF2。

可以添加 PBKDF2 支持吗？至于如何指点？

好的，作为我教育的一个副项目，我目前正在使用 PHP 和 mysqli 开发一个安全的登录系统。一直很顺利，但现在我遇到了一个让我和我的同龄人、老师和我都感到困惑的问题。

我正在通过 password_hash 和 password_verify 散列和检查我的密码。

当我创建一个帐户时，所有内容都会正确存储在数据库中。然后，当我尝试使用正确的密码登录时，它给了我一个错误，我的密码不正确。

现在这是踢球者：当我进入 PHPMyAdmin 时，复制存储在数据库中的散列密码，并使用该精确复制的密码更新密码字段......它有效。我可以使用我使用的密码按预期登录，它不会给我任何错误。

有谁知道发生了什么，以及如何解决它？

用于注册的代码：

用于验证凭据的代码：

调用登录的部分：（是的，validatecredentials 函数被调用了两次。是的，还有一些其他的东西写得不是很好。这部分代码仍然需要一些工作，这是第一件事我会在解决上述问题后做）

我的 Web 应用程序使用 PHPcrypt()函数进行密码散列。我想使用 SHA256 算法，所以我相应地生成了用户的盐字符串。问题是我没有意识到我使用的服务器不支持 SHA256 ( CRYPT_SHA_256)。我刚刚将我的应用程序移到了另一台支持 SHA256 的服务器上，基本上我的用户都无法登录，因为他们的密码字符串和盐字符串生成的哈希值与前一个服务器上生成的哈希值不同。

您认为最好的解决方案是不要求每个用户更改密码？

提前谢谢你，我很感激任何有用的想法。

更新 所以这是一个令人尴尬的愚蠢承认，但问题是我存储在数据库中的哈希是“密码”的哈希，包括引号，我写的查询没有问题，问题在于主席和键盘。

所以这是一个经常被问到的问题，我已经查看了 stackoverflow 和谷歌试图找出答案，但一直没有成功。

我有一个“代理”表，其中为每个代理分配了登录名和密码。密码字段是一个长度为 255 的 varchar。

这是我的php代码：

我很茫然。它似乎只在我提供本地创建的 password_hash 副本时才起作用，如果我随后在 MySQL 数据库中使用该本地创建的副本，它就会失败。

有任何想法吗？

我正在使用 CryptSharp 官方版本来检查 drupal 密码哈希，但我总是出错，Libarary 没有任何有关 drupal 7 密码 7 的直接文档，但它说它对 nuget 描述具有 drupal 7 支持。

使用此代码

测试以下密码和哈希

但结果总是false，我可以通过相同的哈希登录drupal

也许是一个愚蠢的问题，但如果可能的话，使用用户名作为盐的一部分来编写 BasePasswordHasher 子类的最佳方法是什么？我正在从头开始重写一个网站，并在 php 中使用了这种方法。问题是在密码哈希中访问用户名。我真的很乐意解决这个问题，否则很多用户会丢失他们的密码，所以提前非常感谢！

PHP代码：

In a web application I am reading some bytes from /dev/urandom to get a random salt for hashing the passwords.

Is it good to base64 the salt before hashing? Because base64 encoding sometimes appends some = at the end, which could then result in a known plaintext attack. But it may be no problem, because the salt is nevertheless stored in db, or am I wrong?

Does this have an effect on the security of the application?