深入密码加salt原理的分析
更新时间：2013年06月06日 17:02:18 作者：
本篇文章是对密码加salt原理进行了详细的分析介绍，需要的朋友参考下
我们知道，如果直接对密码进行散列，那么黑客可以对通过获得这个密码散列值，然后通过查散列值字典（例如MD5密码破解网站），得到某用户的密码。
加Salt可以一定程度上解决这一问题。所谓加Salt方法，就是加点“佐料”。其基本想法是这样的：当用户首次提供密码时（通常是注册时），由系统自动往这个密码里撒一些“佐料”，然后再散列。而当用户登录时，系统为用户提供的代码撒上同样的“佐料”，然后散列，再比较散列值，已确定密码是否正确。
这里的“佐料”被称作“Salt值”，这个值是由系统随机生成的，并且只有系统知道。这样，即便两个用户使用了同一个密码，由于系统为它们生成的salt值不同，他们的散列值也是不同的。即便黑客可以通过自己的密码和自己生成的散列值来找具有特定密码的用户，但这个几率太小了（密码和salt值都得和黑客使用的一样才行）。
下面以PHP示例，讲解md5($pass.$salt)加密函数。
复制代码 代码如下:
<?php
function hash($a) {
$salt=”Random_KUGBJVY”; //定义一个salt值，程序员规定下来的随机字符串
$b=$a.$salt; //把密码和salt连接
$b=md5($b); //执行MD5散列
return $b; //返回散列
}
?>
调用方式：$new_password=hash($_POST[password]); //这里接受表单提交值，并进行加密
下面详细介绍一下加Salt散列的过程。介绍之前先强调一点，前面说过，验证密码时要使用和最初散列密码时使用“相同的”佐料。所以Salt值是要存放在数据库里的。
用户注册时，
用户输入【账号】和【密码】（以及其他用户信息）；系统为用户生成【Salt值】；系统将【Salt值】和【用户密码】连接到一起；对连接后的值进行散列，得到【Hash值】；将【Hash值1】和【Salt值】分别放到数据库中。
用户登录时，
用户输入【账号】和【密码】；系统通过用户名找到与之对应的【Hash值】和【Salt值】；系统将【Salt值】和【用户输入的密码】连接到一起；对连接后的值进行散列，得到【Hash值2】（注意是即时运算出来的值）；比较【Hash值1】和【Hash值2】是否相等，相等则表示密码正确，否则表示密码错误。
有时候，为了减轻开发压力，程序员会统一使用一个salt值（储存在某个地方），而不是每个用户都生成私有的salt值。
相关文章
这篇文章主要介绍了PHP session反序列化漏洞，php session反序列化漏洞存在的原因是当序列化session和读取反序列化字符时采用的序列化选择器不一样时，处理的方法不一样2023-02-02
对于PHP的session功能，始终找不到合适的答案，尤其是一些错误，还有一些没有错误的结果，最可怕的就是后者，一直为许多的初学者为难。就连有些老手，有时都被搞得莫名其妙2013-07-07
这篇文章主要介绍了一个完整的PHP类包含的七种语法说明,这些语法包括属性、静态属性、方法、静态方法、类常量、构造函数、析构函数,本文一一给代码示例和详细注解让你快速了解类的写法,需要的朋友可以参考下2015-06-06
这篇文章主要介绍了php的sso单点登录实现方法,实例分析了sso单点登录的原理与具体实施步骤,具有一定参考借鉴价值,需要的朋友可以参考下2015-01-01
PHP扩展主要分成3种 外部模块、内置、zend扩展。2009-07-07
PHP中header和session_start前不能有输出原因分析
在http传输文本中，规定必须 header和content顺序必须是：header在前content在后，并且header的格式必须满足“keyword: value\n”这种格式，大家知道这是为什么吗？接下来为您详细解答2013-01-01
这篇文章主要介绍了php实现的操作excel类,较为详细的分析说明了PHP操作excel的具体技巧,包括PHP针对excel的创建、打开、读取、修改等,需要的朋友可以参考下2016-01-01
PHP+FLASH实现上传文件进度条相关文件 下载...2007-07-07
比特网专家特稿：关于PHP应用程序的安全，我们往往容易疏忽，或者采取的措施并不得当。这里给大家提供个通用防注射防跨站的小程序，仅供大家参考。2009-09-09
PHP获得用户使用的代理服务器ip即真实ip...2006-12-12
最新评论