我在 PHP 中正确使用 CRYPT_BLOWFISH 吗？

Question

我将把它用于用户密码系统，但我首先要确保我做得正确。这是我的测试代码：

函数 generateBlowfishSalt() {
    $chars = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ./';
    $numChars = strlen($chars);
    $盐=''；

    for($i = 0; $i ', $password);
printf('salt: %s', $salt);
printf('hash1: %s', $hash1);
printf('hash2: %s', $hash2);
printf('比较:' .$compare);

这是一个示例输出：

密码：foo
盐：MYVJ32OqLcMGBar3pUa.0S
hash1: $2a$12$MYVJ32OqLcMGBar3pUa.0OTRwv6UX0bcxnSmheKOcqjvqvCrM/p2q
hash2: $2a$12$MYVJ32OqLcMGBar3pUa.0OTRwv6UX0bcxnSmheKOcqjvqvCrM/p2q
比较：1

我的主要问题是：

1. 我是否正确生成了 22 个字符的盐？我见过的一些实现使用base64_encode() 来生成盐。我需要这样做吗？

2. 将整个$hash1 值存储在数据库中并且不存储单独的盐值是否正确，因为$hash1 将包含盐值，而这就是我验证密码所需的全部内容？

3. 在 PHP crypt() 文档页面上，CRYPT_BLOWFISH 示例有一个用于 salt 参数的结尾 $（它是：'$2a$07$usesomesillystringforsalt$'）。但在所有示例中，我看到没有人使用尾随$。是可选的吗？

谢谢

Answer 1

你做的盐是正确的。只是必须是随机的。有许多不同的方法可以随机生成这个。除了日期时间等之外，有些人还使用它。此外，更长的盐并不意味着什么，因为无论如何它都会被切断。它需要一定的长度，至少就 crypt() 而言。因此，如果一点额外的填充让您感觉更好，那就去吧。

您假设将盐存储在数据库中。起初我很难理解这一点。加盐的全部目的只是让用大量可能的密码列表彩虹表所需的时间更长。更正，此外，它还有助于 2 个或多个相同的密码，这是必然发生的。如果是这样，由于随机盐，哈希仍然会有所不同。

至于 crypt() 继续测试它，直到它看起来和 PHP 的 php DOC 中的长度相同，但是它看起来是正确的。