我实际上是在使用bcrypt 模块来散列和比较散列密码。
我想要做的是删除bcrypt 模块并使用默认的crypto 库来哈希和比较密码。
这可能吗？
这会比使用node-bcrypt 更安全吗？
你有任何关于如何做的例子/教程/文档/链接吗？
或者我实际上是这样做的：
bcrypt.hash(string,secret_key)
bcrypt.compare(string,string,secret_key);
如果可能的话，我只是想用加密来复制它：
crypto.hash(string,secret_key)
crypto.compare(string,string,secret_key);
【问题讨论】：
标签： javascript node.js passwords cryptography bcrypt
bcrypt 将比加密更安全，只是因为它更慢。然而，这里有一些我在coffeescript中使用crypto编写的密码函数（我用'$'加入create_password部分，你会看到check_password中的分割）：
create_password = function(passwd, method, salt) {
var hmac;
method || (method = "sha1");
salt || (salt = crypto.randomBytes(6).toString('base64'));
hmac = crypto.createHmac(method, salt);
hmac.end(passwd);
return {
hash: hmac.read().toString('hex'),
salt: salt,
method: method
};
};
check_password = function(hashed, passwd) {
var hash, hashp, method, salt, _ref;
_ref = hashed.split("$"), method = _ref[0], salt = _ref[1], hashp = _ref[2];
hash = create_password(passwd, method, salt).hash;
return hash === hashp;
};
示例用法：
passwd = "SOME STRING HERE"
hash_parts = create_password(passwd)
hashed = pwd_parts.method + "$" + pwd_parts.salt + "$" + pwd_parts.hash
check_password(hashed, passwd)
【讨论】：
您可以使用加密库中的 pbkdf2 进行哈希处理：
crypto.pbkdf2(password, salt, iterations, keylen, digest, callback)
示例实现：
const crypto = require('crypto');
crypto.pbkdf2('secret', 'salt', 100000, 512, 'sha512', (err, derivedKey) => {
if (err) throw err;
console.log(derivedKey.toString('hex')); // '3745e48...aa39b34'
});
它使用 HMAC 摘要算法（如 sha512）从给定的密码、盐和迭代中导出给定长度的密钥。 pbkdf2 具有类似 bcrypt 的缓慢特性。使用 PBKDF2、bcrypt 或 scrypt，攻击者每秒只能进行几千次猜测（或更少，取决于配置）。
【讨论】：
crypto.pbkdf2('secret', 'buf', 1028, 64, 'sha256', function(err, key) {...}); ^ TypeError: Bad parameter
bcryptjs 的替代方案。 概念与bcrypt相同，但没有依赖关系，兼容bcrypt。
【讨论】：
截至 2020 年 4 月 24 日 在 crypto 模块中使用 scrypt 提供了一种很好的内置哈希密码方法。它非常安全，因为它使用 salt 来散列密码及其基于 scrypt
// built right into nodejs
const crypto = require("crypto");
// salt - any random string here (ideally should be above 16 bytes)
const salt = "EoAZAJtVDdzPZmOxpx0EnqLmREYUfq";
function getHash() {
return crypto.scryptSync("your-password-here", salt, 32).toString("hex");
}
注意：我使用了 32 个字符的长度，但您可以指定所需的长度
【讨论】：