如何在資料庫驗證中區(qū)分加鹽密碼和純密碼

在資料庫驗證中，保護(hù)密碼至關(guān)重要。一種流行的技術(shù)涉及使用加鹽密碼，其中在散列之前將隨機字串（鹽）附加到密碼中。這使得破解密碼的難度呈指數(shù)級增長，從而增強了安全性。

挑戰(zhàn)：驗證會員登入

在使用儲存在MySQL 中的加鹽密碼實現(xiàn)會員網(wǎng)站時，常見的一個問題是：登入認(rèn)證過程中出現(xiàn)錯誤。登入嘗試似乎錯誤地繞過了密碼檢查，從而允許未經(jīng)授權(quán)的訪問該網(wǎng)站。

檢查問題代碼

以下程式碼片段用於驗證會員登入：

$name = mysqli_real_escape_string($connect, $_POST['name']);
$password = mysqli_real_escape_string($connect, $_POST['password']);
$saltQuery = "SELECT salt FROM users WHERE name = '$name';";
$result = mysqli_query($connect, $saltQuery);
if ($result === false){
    die(mysqli_error());
}
$row = mysqli_fetch_assoc($result);
$salt = $row['salt'];
$saltedPW = $password . $salt;
$hashedPW = hash('sha256', $saltedPW);
$sqlQuery = "SELECT * FROM users WHERE name = '$name' AND password = '$hashedPW'";

if (mysqli_query($connect, $sqlQuery)){
    echo '<h1>Welcome to the member site '.$name.'</h1>';
} else {
    echo 'error adding the query: '.$sql_q.'<br> Reason: '.mysqli_error($connect);
}

解決方案：正確的密碼驗證

問題是由於在SQL 查詢中使用直接密碼比較而引起的。由於儲存的密碼經(jīng)過加鹽處理，因此此方法會將所有登入嘗試誤解為有效。為了修正這個問題，我們需要執(zhí)行以下步驟：

1. 從資料庫中擷取加鹽雜湊：執(zhí)行查詢以取得對應(yīng)的密碼雜湊（包括鹽）到提供的用戶名。
2. 將輸入的密碼與加鹽雜湊進(jìn)行比較：使用password_verify()函數(shù)，它會自動從雜湊中提取鹽和成本因子，以評估密碼的真實性根據(jù)儲存的雜湊輸入的密碼。

使用 mysqli 的範(fàn)例程式碼：

// Connect to the database
$mysqli = new mysqli($servername, $username, $password, $dbname);

// Initialize variables
$username = mysqli_real_escape_string($mysqli, $_POST['username']);
$password = mysqli_real_escape_string($mysqli, $_POST['password']);

// Fetch the salted hash for the specified username
$query = "SELECT password FROM users WHERE username = ?";
$stmt = $mysqli->prepare($query);
$stmt->bind_param('s', $username);
$stmt->execute();
$stmt->bind_result($hashedPassword);
$stmt->fetch();

// Verify the entered password
if (password_verify($password, $hashedPassword)) {
    // Login successful
    echo '<h1>Welcome to the member site '.$username.'</h1>';
} else {
    // Password did not match
    echo 'Invalid login credentials';
}

以上是為什麼即使使用加鹽密碼，我的會員網(wǎng)站也會繞過密碼檢查？的詳細(xì)內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！