bcrypt 和随机生成的盐

背景

bcrypt 是一种密码哈希算法，利用加盐来增强安全性。加盐涉及将随机数据合并到密码哈希中，确保即使相同的密码也会产生不同的哈希结果。

Salt 生成和哈希

提供的 PHP 类包含一个名为 genSalt() 的函数，该函数生成使用 openssl_random_pseudo_bytes() 函数的随机盐。然后，该盐将用作 genHash() 函数中 bcrypt 哈希过程的一部分。

genHash() 函数采用密码并将其与随机生成的盐相结合。生成的哈希值是原始密码、salt 和特定于算法的前缀 ($2y$) 的混合，该前缀指示 bcrypt 算法及其参数（例如工作负载系数）。

密码验证

为了验证密码，提供的 verify() 函数将输入的密码与存储的哈希值进行比较。它通过将提供的密码与存储的哈希值连接起来并使用 crypt() 函数再次对其进行哈希来实现此目的。

理解哈希比较逻辑

理解为什么随机生成盐的关键不影响密码验证的是检查存储的散列的格式。哈希由两个主要部分组成：

1. 算法前缀 ($2y$)、工作负载因子（例如 10）和盐（例如 abcdefg...）
2. 哈希密码

当 verify() 函数使用存储的哈希对提供的密码进行哈希处理时，它仅使用盐部分作为其输入。这确保了盐被纳入验证过程。

结论

总之，虽然 bcrypt 生成随机盐以确保密码安全，但密码验证过程仅考虑存储的哈希值。这允许根据存储的哈希来验证提供的密码，即使盐是随机生成的。