草庐IT

php - SHA1 与 md5 与 SHA256 : which to use for a PHP login?

coder 2023-04-24 原文

我正在进行 php 登录，我正在尝试决定是使用 SHA1 还是 Md5，还是使用我在另一篇 stackoverflow 文章中读到的 SHA256。他们中的任何一个都比其他人更安全吗？对于 SHA1/256，我还使用盐吗？

另外，这是一种将密码作为哈希值存储在 mysql 中的安全方式吗？

function createSalt()
{
    $string = md5(uniqid(rand(), true));
    return substr($string, 0, 3);
}

$salt = createSalt();

$hash = sha1($salt . $hash);

最佳答案

两者都没有。您应该使用 bcrypt。您提到的哈希都经过优化，可以在硬件上快速简便，因此破解它们具有相同的品质。如果您别无选择，至少一定要使用长盐并重新哈希多次。

在 PHP 5.5+ 中使用 bcrypt

PHP 5.5 提供 new functions for password hashing .这是现代 Web 应用程序中密码存储的推荐方法。

// Creating a hash
$hash = password_hash($password, PASSWORD_DEFAULT, ['cost' => 12]);
// If you omit the ['cost' => 12] part, it will default to 10

// Verifying the password against the stored hash  
if (password_verify($password, $hash)) {
    // Success! Log the user in here.
}

如果您使用的是旧版本的 PHP you really should upgrade ，但在您这样做之前，您可以使用 password_compat公开此 API。

另外，请让 password_hash()为您生成盐。它使用 CSPRNG .

bcrypt 的两个注意事项

  1. Bcrypt 将静默截断任何长度超过 72 个字符的密码。
  2. Bcrypt 将在任何 NUL 字符后截断。

(Proof of Concept 此处有两个警告。)

您可能想通过 pre-hashing your passwords before running them through bcrypt 解决第一个警告。 ，但这样做可能会导致您的应用程序先运行到第二个运行。

不要编写自己的方案，而是使用由安全专家编写和/或评估的现有库。

TL;DR - Use bcrypt .

关于php - SHA1 与 md5 与 SHA256 : which to use for a PHP login?，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/2235158/

SHAloginnoreferrerpasswordnoopenerphpauthenticationmd5sha1sha256

有关php - SHA1 与 md5 与 SHA256 : which to use for a PHP login?的更多相关文章

  1. C# 到 Ruby sha1 base64 编码 - 2

    我正在尝试在Ruby中复制Convert.ToBase64String()行为。这是我的C#代码:varsha1=newSHA1CryptoServiceProvider();varpasswordBytes=Encoding.UTF8.GetBytes("password");varpasswordHash=sha1.ComputeHash(passwordBytes);returnConvert.ToBase64String(passwordHash);//returns"W6ph5Mm5Pz8GgiULbPgzG37mj9g="当我在Ruby中尝试同样的事情时，我得到了相同sha

  2. ruby - 我可以创建长度为 8 的 md5 哈希吗？ - 2

    是否可以创建8个字符长的md5散列？ 最佳答案 MD5创建16字节的哈希值。您当然可以将字符串裁剪为八个字符，如myString[0..7]一样，但请注意，这不再是有效的MD5散列。 关于ruby-我可以创建长度为8的md5哈希吗？，我们在StackOverflow上找到一个类似的问题： https://stackoverflow.com/questions/5854208/

  3. ruby-on-rails - 这个 C 和 PHP 程序员如何学习 Ruby 和 Rails？ - 2

    按照目前的情况，这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visitthehelpcenter指导。关闭9年前。我来自C、php和bash背景，很容易学习，因为它们都有相同的C结构，我可以将其与我已经知道的联系起来。然后2年前我学了Python并且学得很好，Python对我来说比Ruby更容易学。然后从去年开始，我一直在尝试学习Ruby，然后是Rails，我承认，直到现在我还是学不会，讽刺的是那些打着简单易学的烙印，但是对于我这样一个老练的程序员来说，我只是无法将它

  4. Ruby - 不支持的密码算法 (AES-256-GCM) - 2

    我收到错误:unsupportedcipheralgorithm(AES-256-GCM)(RuntimeError)但我似乎具备所有要求:ruby版本:$ruby--versionruby2.1.2p95OpenSSL会列出gcm:$opensslenc-help2>&1|grepgcm-aes-128-ecb-aes-128-gcm-aes-128-ofb-aes-192-ecb-aes-192-gcm-aes-192-ofb-aes-256-ecb-aes-256-gcm-aes-256-ofbRuby解释器:$irb2.1.2:001>require'openssl';puts

  5. ruby - 256 种颜色，前景和背景 - 2

    这是两个脚本的故事，与previousquestion有关.这两个脚本位于http://gist.github.com/50692.ansi.rb脚本在所有256种背景颜色上显示所有256种颜色。ncurses.rb脚本显示所有256种前景颜色，但背景显示基本的16种颜色，然后似乎循环显示各种属性，如闪烁和反向视频。那么是什么给了？这是ncurses中的错误，它使用带符号的整数来表示颜色对吗？(即'tputcolors'表示256但'tputpairs'表示32767而不是65536)似乎如果是这种情况，颜色对的前半部分会正确显示但后半部分会重复或进入属性作为int包裹。

  6. ruby-on-rails - Rails 还是 Sinatra？ PHP程序员入门学习哪个好？ - 2

    按照目前的情况，这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visitthehelpcenter指导。关闭10年前。我使用PHP的时间太长了，对它感到厌倦了。我也想学习一门新语言。我一直在使用Ruby并且喜欢它。我必须在Rails和Sinatra之间做出选择，那么您会推荐哪一个？Sinatra真的不能用来构建复杂的应用程序，它只能用于简单的应用程序吗？

  7. ruby - 使用 ruby​​ 生成格式化为/etc/shadow 的 SHA512 crypt-style 哈希？ - 2

    我想生成SHA512散列密码以直接包含在/etc/shadow文件中以与chef'suserresource一起使用.通常我会为此访问stdlib的Digest库，但它不会以正确的格式生成哈希:ruby-1.9.2-p136:001>require'digest/sha2'=>trueruby-1.9.2-p136:002>Digest::SHA512.hexdigest('test')=>"ee26b0dd4af7e749aa1a8ee3c10ae9923f618980772e473f8819a5d4940e0db27ac185f8a0e1d5f84f88bc887fd67b1437

  8. ruby-on-rails - PHP 魔术方法 __call、__get 和 __set 的 Ruby 等价物 - 2

    我很确定Ruby有这些(等同于__call、__get和__set)，否则find_by将如何在Rails中工作？也许有人可以举一个简单的例子来说明如何定义与find_by相同的方法？谢谢 最佳答案 简而言之你可以映射__调用带有参数的method_missing调用__设置为方法名称以'='结尾的method_missing调用__获取不带任何参数的method_missing调用__调用PHPclassMethodTest{publicfunction__call($name,$arguments){echo"Callingob

  9. ruby - Lisp - 是否适合网络编程/应用程序(交互式)？ ruby 的方式是？ php的方式是？ - 2

    Lisp是否适合Web编程/应用程序(交互式)，就像ruby​​和php一样？需要考虑的事情是:易于使用可部署性难度(尤其是对于编程初学者而言)(编辑)在阅读PaulGraham'sessay之后，我特别提到了CommonLisp.将是我的第一门编程语言。在这方面。这样做合适吗？我听说Clojure的宏功能不如CommonLisp的强大，这就是我尝试学习Clojure的原因。它教授编程并且非常强大。 最佳答案 Lisp是一个语系，而不是单一的语言。为了稍微回答您的问题，是的，存在用于各种Lisp方言的Web框架，例如用于Common

  10. ruby-on-rails - 如何在 Ruby 中使用 HMAC 模块创建 MD5 哈希？ - 2

    使用Google+Bing并没有给出应该是一个简单问题的答案:您应该如何使用Ruby中的HMAC模块来创建带MD5的HMAC(使用secret)？HMAC文档看起来非常薄。谢谢! 最佳答案 这应该是最简单的方法:OpenSSL::HMAC.digest(OpenSSL::Digest::Digest.new('md5'),secret_key,your_data) 关于ruby-on-rails-如何在Ruby中使用HMAC模块创建MD5哈希？，我们在StackOverflow上找到一个

随机推荐