散列密码并将其和盐保存到 mysql pdo utf8 编码

Question

我有这个问题，如果不合适，请在 cmets 中告诉我，我会放弃它。事情是这样的： 我用这段代码生成盐：

$salt = mcrypt_create_iv(32);

密码是这样的：

$password =  hash('sha256', $_POST['password'] . $salt);

并将$salt和$password保存到MYSQL数据库中，目前没有问题，如果我这样连接：

$pdo = new PDO(
    'mysql:host=hostname;dbname=defaultDbName',
    'username',
    'password'
);

但如果我以其他方式连接：

$pdo = new PDO(
    'mysql:host=hostname;dbname=defaultDbName;charset=utf8',
    'username',
    'password'
);

盐没有保存到数据库中或以错误的值和长度保存；除非我这样做： $salt = utf8_encode(mcrypt_create_iv(32);); 但我认为这是不对的，我的意思是为什么我应该编码， mcrypt_create_iv(32) 和 utf-8 有什么问题？

Answer 1

您的解决方案将起作用：

mcrypt_create_iv 返回一堆字节，它们方便地放在一个字符串中。但是因为它们可以有任何值，所以它们可能会导致错误的 UTF-8 序列。 utf8_encode 解决了这个问题，只要您在从数据库中读回 utf8_decode 后还记得使用它，它就会正常工作。

如果您的连接不是 utf8，那么每个字节都将被视为单个（整个）ANSI 字符，您不需要对其进行任何编码。

最佳解决方案：保持二进制：

由于此数据实际上是二进制数据，而不是真正的字符串，因此二进制字段（BINARY、VARBINARY 或 BLOB）将是存储它的更好选择，以防止因编码或解码而出现任何问题。

BINARY 可能是最好的选择，因为这个数据的长度既不可变，也不大。

见http://dev.mysql.com/doc/refman/5.0/en/binary-varbinary.html

替代方案：存储为实际文本，没有花哨的字符：

另一种解决方案是使用bin2hex 将二进制数据转换为十六进制表示。该字符串的长度是原来的两倍，但它只包含字母和数字，并且可以安全地用于任何类型的字符串字段。您可以使用hex2bin 将其转换回来。

Answer 2

正如其他海报所提到的，mcrypt_create_iv 可以生成不适合 utf8 的字符。试试这样的：

function generate_random($length=16, $simple=false){
        $result='';
        $chars = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ1234567890!@#$%^&*()+=-_?~';
        if($simple)
            $chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ1234567890';
        for ($i = 0; $i < $length; $i++)
            $result .= $chars[mt_rand(0, strlen($chars)-1)];
        return $result;
    }

16 个字符和 78 个字符集产生 1.877 * 10^30 个组合。对于像 sha256 这样的单向哈希，加上密码长度应该绰绰有余。