真的不需要为 bcrypt 生成盐吗？

Question

我正在使用 golang.org/x/crypto/bcrypt 包来存储密码。查看文档和其他 SO 问题，似乎我不应该（或至少不必须）在生成哈希之前为密码生成盐。这似乎与我读过的关于密码学和现代密码存储的所有内容背道而驰，让我有点紧张。将用户的普通密码传递给bcrypt.GenerateFromPassword 真的足够安全吗，还是我读错了？

Answer 1

应用程序的 bcrypt 包 generates the salt。 GenerateFromPassword 的返回值对密码的成本、盐和哈希进行编码。