在 Web 应用程序中持久保存用户密码的当前最先进的方法是什么？我正在使用 Java 6 + MySQL。我想到的一些问题是：在应用程序中编码还是通过 DBMS 编码更好（这是否相关）？哪种算法被认为是可靠的？在数据库中存储什么？对这些东西真的很陌生，所以可能错过了一些关键细节，在这种情况下，请随时告诉我。
谢谢。
【问题讨论】：
标签： java mysql passwords password-protection
您应该将安全散列和加盐版本的密码存储到数据库中。这样一来，如果您的网站遭到黑客入侵，由于用户几乎在任何地方都使用相同的通行证，因此他们的其他帐户不会被盗用。
为此，应做到以下几点：
在哪里散列密码（应用程序或数据库）并不重要，但数据库的安全散列功能有限，因此应用程序是更好的选择。
【讨论】：
bcrypt 这样的慢速算法甚至更昂贵）。
bcrypt 是一种可靠的密码散列算法。它是由具有安全意识的安全专业人员创建的。
bcrypt 很慢（这是一件好事，使得创建彩虹表的成本非常高）。您可以配置 bcrypt 以使用可变数量的轮数来扩展您使用的任何硬件（更多轮数 = 更慢）。此外，它会自动处理盐生成，每个散列不同的盐（这使得彩虹表攻击几乎不可能，因为bcrypt 的缓慢性质以及每个密码需要一个完整的彩虹表的事实）。
bcrypt 的 Java 实现可在 jBCrypt 获得。
【讨论】：
您将面临许多自称安全专家的愤怒，因为他们提出了这样的问题。我自己不是安全专家，但我觉得自己有足够的资格在常识的驱动下提出一些建议。根据您希望应用程序的安全程度，有多种方法。
1- 大多数攻击发生在您通过网络传输凭据时。 （中间的人）。因此，您需要确保用户名和密码的传输是安全的。 （ssl 或 HTTP 摘要）。如果安全性非常重要，那么您应该探索是否需要传递用户名\密码。 （通过使用一些基于令牌的身份验证，如 Oauth 而不是用户名和密码）
2- 如果您决定传入用户名和密码，则需要在您的应用程序范围内缩短密码字符串的生命周期。当然，最好的方法是实现基于 LDAP 等机制的身份验证过滤器。大多数 LDAP 存储，将允许您存储加密密码并允许您通过绑定执行身份验证。（因此您的应用程序将永远不会担心身份验证和存储）
3- 如果您确实将密码带到了应用程序层，当然您仍然需要减少明文密码的生命周期并使用一些安全的散列算法进行加密。但是这种方法并将密码存储在数据库中（即使是加密形式）并不是那么安全。 （特别是，由于您正在存储密码，因此有人可以绕过您的安全层）
因此，总而言之，根据您需要的安全程度，您需要问自己以下问题。
1- 您是否需要发送用户名/密码？
2- 你能确定密码不能通过网络被嗅探吗？
3- 您能否不将您的身份验证委托给前端过滤器，而不是委托给您的应用程序层？
【讨论】：