我如何有效地使用 crypt()

Question

我不理解php.net 的文档。在针对原始加密进行测试时，他们似乎使用加密版本的密码作为盐。

当我插入没有可选第二个参数（盐）的 crypt 时，我会得到相同密码的不同加密版本。这是预期的行为吗？

但是，如果我插入“d4”的第二个参数，那么对于相同的密码输入，我会得到相同的加密密码。预期行为。

在注册时插入之前：

$pass = crypt('$pass', 'd4'); // after this I insert $pass into the mysql table

登录测试：

$pass = crypt($pass, 'd4'); // after this I test $pass against the mysql table

PHP.net 文档：

<?php
$password = crypt('mypassword'); // let the salt be automatically generated

/* You should pass the entire results of crypt() as the salt for comparing a
   password, to avoid problems when different hashing algorithms are used. (As
   it says above, standard DES-based password hashing uses a 2-character salt,
   but MD5-based hashing uses 12.) */
if (crypt($user_input, $password) == $password) {
   echo "Password verified!";
}
?> 

这是如何工作的？

Answer 1

由于 crypt() 只使用 salt 参数的前两个字符（或任何 CRYPT_SALT_LENGTH ），因此传入加密密码（其中第一个字符是最初用于加密它的 salt）做正确的事.

如果没有传入盐参数，则生成并使用随机盐。

Answer 2

如果您的问题是……对于相同的密码/输入，使用某些加密密码返回不同的加密字符串是否正常？答案是肯定的。不确定你指的是什么盐。盐就是盐。最后，它是一种催眠剂，没有任何意义。不建议使用密码或加密形式的密码作为盐，但通常使用短语的一些随机散列（base64）。如果没有，请告诉我，我会再试一次。