python django unsalted md5密码哈希格式

Question

我从一个旧的 php 应用程序中获得了一个用户表，其中用户使用未加盐的 md5 哈希作为密码，并且因为我正在将应用程序迁移到 django，我试图将所有用户放在 auth_user 表中。

参考this 帖子，可以将密码存储为不加盐的 md5 哈希。但这对我不起作用？ (python/2.7.6,django/1.6.1)

例如对于具有密码“changeme”的用户，我认为它的格式应该是 md5$$4cb9c8a8048fd02294477fcb1a41191a 还是我遗漏了什么？

编辑： 在 settings.py 我得到了：

PASSWORD_HASHERS = (
    'django.contrib.auth.hashers.PBKDF2PasswordHasher',
    'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',
    'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',
    'django.contrib.auth.hashers.BCryptPasswordHasher',
    'django.contrib.auth.hashers.SHA1PasswordHasher',
    'django.contrib.auth.hashers.MD5PasswordHasher',
    'django.contrib.auth.hashers.CryptPasswordHasher',
)

我在 views.py 中使用 login_required 装饰器（如果有某种关联）：

@login_required
def index(request):
    logger.debug('index accessed from %s by %s' % (request.META.get('REMOTE_ADDR'), request.user.username) )
    member = members.objects.get(nickname=request.user.username)
    context = {'request': request, 'member': member}
    return render(request, 'voip/index.html', context)

和以下 urls.py:

url(r'^login/$', 'django.contrib.auth.views.login', {
  'template_name': 'voip/login.html'
}),
url(r'^logout/$', 'django.contrib.auth.views.logout_then_login', {
  #'template_name': 'voip/logout.html'
}),

只要在 settings.py AUTHENTICATION_BACKENDS 看起来像这样，它就可以工作：

AUTHENTICATION_BACKENDS = (
    'django.contrib.auth.backends.ModelBackend',
    'django_auth_ldap.backend.LDAPBackend',
)

只要我注释掉 django_auth_ldap 它就不起作用。但是如果我随后将 pbkdf2 哈希从最初安装的超级用户（我设置 pw changeme 进行调试）复制到 auth_user 表中我自己的用户，我可以使用密码“changeme”登录...

Answer 1

您可以自定义身份验证过程，甚至可以编写自定义身份验证后端。官方文档中涵盖了该主题：

https://docs.djangoproject.com/en/1.6/topics/auth/customizing/

Answer 2

对于您的问题，我有两个建议。

首先，请在settings.py 中查看PASSWORD_HASHERS。 Django 能够从旧算法升级密码，但前提是它们在您的配置中可用。阅读更多at the django docs。

至少你需要激活MD5PasswordHasher：

PASSWORD_HASHERS = (
    'django.contrib.auth.hashers.PBKDF2PasswordHasher',
    'django.contrib.auth.hashers.MD5PasswordHasher',
)

其次，如果您已经这样做了，您可以尝试简单地存储旧的 MD5 密码，而不用前导 md5$$。这也被支持作为后备。 Django 会将 32 位十六进制数识别为 MD5 哈希。这是来自django source code的相关代码块：

# Ancient versions of Django created plain MD5 passwords and accepted
# MD5 passwords with an empty salt.
if ((len(encoded) == 32 and '$' not in encoded) or
        (len(encoded) == 37 and encoded.startswith('md5$$'))):
    algorithm = 'unsalted_md5'

希望这会有所帮助！

Answer 3

根据我在 Django 1.6.1 源代码中看到的内容，您不能将 MD5PasswordHasher 与空盐一起使用：https://github.com/django/django/blob/1.6.1/django/contrib/auth/hashers.py#L397。

但是UnsaltedMD5PasswordHasher 可能对你有用。

编辑：您提到的answer 是 4 年前 Django 1.2 统治市场时编写的。我检查了它的password hashing code，它没有任何断言，这就是为什么 MD5 哈希器当时使用空盐。