如何使用PHP更改数据库中的SALT密码

Question

我使用从android到一些php脚本的HTTPPOST来更新数据库中的用户密码。

我使用的SALT哈希与用户创建帐户时相同，数据库更新正在运行并更改SALT的值，但当我尝试使用新密码登录时，它是不正确的。

创建密码的初始代码是：

public function storeUser($name, $email, $password, $rand) {
    $uuid = uniqid('', true);
    $hash = $this->hashSSHA($password);
    $encrypted_password = $hash["encrypted"]; // encrypted password
    $salt = $hash["salt"]; // salt
    $auth = 0;
    $result = mysql_query("INSERT INTO users(unique_id, authorized, auth_code, name, email, encrypted_password, salt, created_at) VALUES('$uuid', '$auth', '$rand', '$name', '$email', '$encrypted_password', '$salt', NOW())");
    // check for successful store
    if ($result) {
        // get user details 
        $uid = mysql_insert_id(); // last inserted id
        $result = mysql_query("SELECT * FROM users WHERE uid = $uid");
        // return user details
        return mysql_fetch_array($result);
    } else {
        return false;
    }
}

散列函数为：

 /**
 * Encrypting password
 * @param password
 * returns salt and encrypted password
 */
public function hashSSHA($password) {
    $salt = sha1(rand());
    $salt = substr($salt, 0, 10);
    $encrypted = base64_encode(sha1($password . $salt, true) . $salt);
    $hash = array("salt" => $salt, "encrypted" => $encrypted);
    return $hash;
}
/**
 * Decrypting password
 * @param salt, password
 * returns hash string
 */
public function checkhashSSHA($salt, $password) {
    $hash = base64_encode(sha1($password . $salt, true) . $salt);
    return $hash;
}

最后是更新功能（问题所在）：

 /**
 * Updating a users
 * password
 */
public function updatePassword($email, $password) {
    $uuid = uniqid('', true);
    $hash = $this->hashSSHA($password);
    $encrypted_password = $hash["encrypted"]; // encrypted password
    $salt = $hash["salt"]; // salt
    $result = mysql_query("UPDATE users SET encrypted_password='$encrypted_password',  updated_at = NOW() WHERE email='$email'");
    $result = mysql_query("UPDATE users SET salt='$salt',  updated_at = NOW() WHERE email='$email'");

    // check for successful store
    if ($result) {
        // get user details
        $uid = mysql_insert_id(); // last inserted id
        $result = mysql_query("SELECT * FROM users WHERE email = '$email'");
        // return user details
        return mysql_fetch_array($result);
    } else {
        return false;
    }
}

一如既往，我们非常感谢您的帮助。

编辑：

按要求登录功能：

 /**
 * Get user by email and password
 */
public function getUserByEmailAndPassword($email, $password) {
    $result = mysql_query("SELECT * FROM users WHERE email = '$email'") or die(mysql_error());
    // check for result
    $no_of_rows = mysql_num_rows($result);
    if ($no_of_rows > 0) {
        $result = mysql_fetch_array($result);
        $salt = $result['salt'];
        $encrypted_password = $result['encrypted_password'];
        $hash = $this->checkhashSSHA($salt, $password);
        // check for password equality
        if ($encrypted_password == $hash) {
            // user authentication details are correct
            return $result;
        }
    } else {
        // user not found
        return false;
    }
}

Answer 1

您已经构建了一个弱的密码哈希方案，因为您使用SHA1的单次迭代作为哈希函数，并且salt被截断为10个字符，并且是使用加密不安全的rand()函数生成的。然后你把盐储存在一块单独的田地里，让你的生活变得更加艰难。

在您的情况下，我强烈建议使用PHP的新函数password_hash（）和password_verify（）来获得强BCrypt哈希。它们负责生成安全的随机salt，生成的字符串包含哈希值和salt，因此您可以将其存储在数据库中的单个字段中。有一个适用于早期PHP版本的兼容性包。

使用此功能的最简单方法是：

$hashToStoreInDb = password_hash($password, PASSWORD_BCRYPT);
$isPasswordCorrect = password_verify($password, $existingHashFromDb);

回答你的问题：我看不出它不起作用的明显原因，通常问题是数据库字段太短。在您的情况下，您需要放置一个添加了10个字符的salt的二进制SHA1，即base64_encoded（很难预测必要的大小）。将SHA1中的二进制字符串（空字节）与普通字符串组合也可能是危险的。