使用bcrpyt哈希用户密码

小Z哥_Zzz
466 阅读3分钟

简介

在完成许多的项目当中，注册和登录这两个功能几乎是必不可少的。

将用户的密码加密后再存入数据库的操作是必要的。我们通常对密码进行加密，然后存放在数据库中，在用户进行登录的时候，将其输入的密码与数据库中存放的密文进行比较，以验证用户密码是否正确。目前，MD5和Bcrypt比较流行。

  • BCrypt加密： 一种加盐的单向Hash，不可逆的加密算法，同一种明文（plaintext），每次加密后的密文都不一样，而且不可反向破解生成明文，破解难度很大。
  • MD5加密： 是不加盐的单向Hash，不可逆的加密算法，同一个密码经过hash的时候生成的是同一个hash值，在大多数的情况下，有些经过md5加密的方法将会被破解。

Bcrypt生成的密文是60位的。而MD5的是32位的。相对来说，Bcrypt比MD5更安全，但加密更慢

image.png

Bcrypt是怎么加密的

Bcrypt有四个变量：

  1. saltRounds: 正数，代表hash杂凑次数，数值越高越安全，默认10次。
  2. myPassword: 明文密码字符串。
  3. salt: 盐，一个128bits随机字符串，22字符
  4. myHash: 经过明文密码password和盐salt进行hash，个人的理解是默认10次下 ，循环加盐hash10次，得到myHash

每次明文字符串myPassword过来，就通过10次循环加盐salt加密后得到myHash, 然后拼接BCrypt版本号+hash次数+salt盐+myHash等到最终的bcrypt密码 ，存入数据库中。
这样同一个密码，每次登录都可以根据自省业务需要生成不同的myHash, myHash中包含了版本和salt，存入数据库。
bcrypt密码图解： image.png

Go语言使用bcrypt

bcrypt的原理和实现都非常复杂，不过常用的编程语言都有实现bcrypt的包让我们直接使用，在Go语言里是通过golang.org/x/crypto/bcrypt包提供bcrypt相关功能给开发者使用的。

接下来我们在http_demo项目里演示一下使用bcrypt做密码哈希和验证的方法，首先我们需要安装一下bcrypt包

$ go get golang.org/x/crypto/bcrypt

bcrypt包只提供了三个函数：

  • CompareHashAndPassword 用于比对bcrypt哈希字符串和提供的密码明文文本是否匹配。
  • GenerateFromPassword以给定的Cost返回密码的bcrypt哈希。如果给定的成本小于MinCost，则将成本设置为DefaultCost（10）。
  • Cost返回用于创建给定bcrypt哈希的哈希成本。将来密码系统为了应对更大的计算能力而增加哈希成本时，该功能可以用于确定哪些密码需要更新。

bcrypt库三个函数的使用演示

package handler

import (
    "fmt"
    "golang.org/x/crypto/bcrypt"
    "net/http"
)


func HashPassword(password string) (string, error) {
    bytes, err := bcrypt.GenerateFromPassword([]byte(password), 14)
    return string(bytes), err
}

func CheckPasswordHash(password, hash string) bool {
    err := bcrypt.CompareHashAndPassword([]byte(hash), []byte(password))
    return err == nil
}

func GetHashingCost(hashedPassword []byte) int {
    cost, _ := bcrypt.Cost(hashedPassword) // 为了简单忽略错误处理
    return cost
}
avatar
文章
阅读
粉丝