我需要用 bcrypt 存储盐吗？

Question

bCrypt's javadoc 有这个密码如何加密的代码：

String pw_hash = BCrypt.hashpw(plain_password, BCrypt.gensalt()); 

要检查明文密码是否与之前经过哈希处理的密码匹配，请使用 checkpw 方法：

if (BCrypt.checkpw(candidate_password, stored_hash))
    System.out.println("It matches");
else
    System.out.println("It does not match");

这些代码 sn-ps 向我暗示随机生成的盐被扔掉了。是这样吗，还是这只是一个误导性的代码 sn-p？

Answer 1

盐被合并到哈希中（以 base64 样式格式编码）。

例如，在传统的 Unix 密码中，salt 存储为密码的前两个字符。其余字符代表哈希值。检查器函数知道这一点，并将散列分开以取出盐。