在Spring Boot中使用BCrypt散列函数而没有所有的过度杀伤力？
在Spring Boot中使用BCrypt散列函数可以提供密码的安全存储和验证机制，同时避免了过度的计算成本。BCrypt是一种密码哈希函数，它使用salt（盐）和cost factor（成本因子）来增加密码的安全性。
BCrypt的优势包括：
- 安全性高：BCrypt使用哈希和盐的组合来存储密码，这样即使相同的密码也会生成不同的哈希值，增加了密码的安全性。
- 抗彩虹表攻击：BCrypt使用salt来增加密码的复杂性，使得彩虹表攻击变得非常困难。
- 可调节的成本因子：BCrypt的成本因子决定了哈希函数的计算成本，可以根据实际需求进行调整，以平衡安全性和性能。
BCrypt在Spring Boot中的应用场景包括用户密码的存储和验证。在用户注册时，可以使用BCrypt对密码进行哈希处理，并将哈希值存储在数据库中。在用户登录时，可以使用BCrypt对用户输入的密码进行哈希处理，并与数据库中存储的哈希值进行比较，从而验证用户的身份。
腾讯云提供了云安全解决方案，其中包括密钥管理系统（KMS）和访问管理（CAM）等产品，可以帮助用户保护密码和敏感数据的安全。具体产品介绍和使用方法可以参考腾讯云的官方文档：
- 密钥管理系统（KMS）：https://cloud.tencent.com/product/kms
- 访问管理（CAM）：https://cloud.tencent.com/product/cam
总结：在Spring Boot中使用BCrypt散列函数可以提供密码的安全存储和验证机制，避免了过度的计算成本。腾讯云提供了云安全解决方案，可以帮助用户保护密码和敏感数据的安全。
相关·内容
我在数据库中使用散列SHA512对我的密码进行散列。在我的spring boot安全机制中，我使用了下面的代码
@Bean
public PasswordEncoder customPasswordEncoder()
{
return new PasswordEncoder() {
@Override
public String encode(CharSequence rawPassword) {
return BCrypt.hashpw(rawPassword.toString(), BCrypt.ge
浏览 0提问于2020-02-24得票数 0
在spring boot中配置OAuth2.0时，我将passwordEncoder设置为BCryptPasswordEncoder，除了OAuth之外，在内部编码密码以进行比较时，它会预先修复散列，因此bCryptPasswordEnoder.matches返回false。有没有人能帮我解决{bcrypt}的意外前缀？谢谢!
浏览 31提问于2019-05-13得票数 1
回答已采纳
好的，我将Java与Spring MVC和Hibernate结合使用。我第一次使用bCrypt进行密码加密。我理解这样做，bCrypt将盐与散列集成在一起。我目前已经设置了它，以便将密码作为输入接受，使用bCrypt编码，并保存为我的SQL数据库中的一列。
但是，我想将盐从散列中分离出来，并将它们分开存储。我读过，试过很多东西，但还是找不到这样做的方法。因此，如果有人能为我指出正确的方向，那将是一个很大的帮助。
这就是我目前所拥有的。
这是设置bCrypt的基本代码。它接受我的密码字符串，并对其加密。
BCryptPasswordEncoder passwordEncoder = new B
浏览 2提问于2015-04-28得票数 0
我有一个Spring boot 2.0.1服务，我在其中添加了基本身份验证，它使用BCrypt进行散列。但这项服务在添加基本身份验证之前平均需要400ms，现在需要超过1秒。我使用的是User details服务，它在哈希图中查找发送的用户名并返回UserDetails。我试着将BCrypt舍入减少到4，但这并没有太大的区别。
早些时候我启用了无状态身份验证，后来我禁用了它，但性能仍然很差。此服务托管在Docker容器中。
下面是我的安全配置。
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
publi
浏览 0提问于2018-08-10得票数 4
1回答
在Node.js web开发中，我认为使用bcrypt对密码进行散列和比较是一种常见的做法。bcrypt.compare易受攻击吗？
浏览 1提问于2016-02-25得票数 3
我正在使用C#和BCrypt.Net来散列我的密码。
例如：
string salt = BCrypt.Net.BCrypt.GenerateSalt(6);
var hashedPassword = BCrypt.Net.BCrypt.HashPassword("password", salt);
//This evaluates to True. How? I'm not telling it the salt anywhere, nor
//is it a member of a BCrypt instance because there IS NO BCRYP
浏览 4提问于2011-03-22得票数 31
回答已采纳
我是第一次使用jBCrypt，我没有在我的项目中使用Spring，也不想让那个笨重的库来做一件简单的事情-- BCrypt。
我的理解是加盐的散列包括将盐与密码组合，然后对其进行散列。然而，使用这个库的结果显示，最终的散列似乎基本上是散列之前的盐。
这是我的测试代码：
public static void main(String[] args) throws Exception{
String salt = BCrypt.gensalt();
System.out.println("SALT: " + salt);
String pass = "
浏览 2提问于2016-09-29得票数 0
我正在开发一个遗留的基于Spring的web应用程序，它使用的是当前标准中不适当的散列算法。现在我想逐渐将所有的散列迁移到bcrypt。我的高层战略是：
默认情况下，使用bcrypt生成新散列。
当用户成功登录并仍然具有遗留哈希时，应用程序将旧哈希替换为新的bcrypt哈希。
使用Security实现此策略的最惯用的方法是什么？是使用自定义筛选器还是在AccessDecisionManager或…上使用？？
浏览 11提问于2012-12-07得票数 6
回答已采纳
1回答
编排中的线程化与容器
、、、、
我正在重新设计一个现有的Spring Boot应用程序，它试图自动执行公司目前由其员工手动完成的一系列工作。它有一个主应用程序，从某种意义上说，它几乎就像一个编排应用程序，它是调用其他应用程序来完成整个工作的服务。它调用了7个子系统，其中3个系统需要按某种顺序调用，并在调用其他4个系统之前完成，但它们可以异步调用。 所有这些子系统现在都被移到了Spring Microservices上，我正在处理的应用程序必须调用这些微服务(一些是顺序的，另一些是异步的)，我的应用程序可能会同时被多次调用，所以我需要考虑每个子系统可能需要多个容器。我已经实现了Open-Feign来调用每个微服务。 他们还计
浏览 11提问于2020-07-24得票数 3
我有一个带有SQL/Web依赖项的Spring Boot项目。我有控制器和模型，但没有配置类。这是一个非常简单的项目，所以我通过检查请求头中特定于用户的令牌来进行简单的身份验证。在将密码保存到数据库之前，我希望使用BCrypt依赖项来散列密码，但是Spring Boot不允许我简单地使用静态函数。 我已经将以下三个依赖项添加到我的pom.xml中： <dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring
浏览 13提问于2019-05-22得票数 1
4回答
我想在我的系统中使用Bcrypt进行密码加密。但是所有的例子都是这样的：
$password = $_POST['password'];
$salt = substr(str_replace('+', '.', base64_encode(sha1(microtime(true), true))), 0, 22);
$hash = crypt($password, '$2a$12$'.$salt);
对我来说，这看起来很安全，但我想知道，在每个示例中，没有人在使用Bcrypt之前散列密码。
由于独特的盐，彩虹表应该不能一次破解所有
浏览 2提问于2012-07-01得票数 1
回答已采纳
2回答
bcrypt和scrypt散列算法都是为了增加计算过程中所需的资源而设计的。使用这些算法对密码进行散列可能是有益的，因为它会使脱机攻击者的任务更加困难。
通过增加bcrypt中的迭代次数，可以增加密码哈希所需的时间。然后，攻击者必须以顺序方式执行此迭代，因为没有假定的快捷方式。
散列密码所需的内存可以用scrypt增加。因此，攻击者将需要大量内存来进行并行攻击。
正如我所理解的，这两种算法都试图阻止并行攻击。
我的问题是，我们能否使SHA或任何现有的安全哈希算法迭代和内存密集，并实现与bcrypt和scrypt相同的功能？
浏览 0提问于2014-11-20得票数 1
回答已采纳
我需要能够向用户发送一个链接，其中包含一个加密值，这是用来验证用户时，他们访问的链接。
目前的处理过程使用了salt和大约40个字符的唯一散列，然后对散列进行加密和base64编码，以便可以通过电子邮件安全地传输，理论上也可以通过网址安全返回。
然而，由于这是我第一次尝试这样做，我没有考虑加密值中斜杠的影响。这会导致值在我从URL中拉出时被截断，这显然不会在我试图解密它时起作用。
这通常是如何实现的？到教程的链接，等等，总是很感谢。
浏览 0提问于2009-03-19得票数 1
回答已采纳
请考虑以下代码：
const hashPassword = function(plainText) {
return crypto
.createHmac(process.env.Secret_hash_Password, "secret key")
.update(plainText)
.digest("hex");
};
正如您可能已经注意到的，这是一个使用crypto的简单散列函数。
现在考虑一下下面的代码摘录：
bcrypt.compare(password, user.password, (err, isMatch) =&g
浏览 1提问于2020-04-18得票数 0
回答已采纳
1回答
我想要生成一些数据的散列。通过一些哈希算法，我可以找到最适合我的应用程序的bcrypt和PBKDF。可能会出现这样的情况:使用不同的数据算法生成相同的哈希(就像在MD5中一样，它可以为不同类型的数据生成相同的哈希)。
通过对众多专家的回顾，bcrypt是最安全的哈希算法，它提供了不同哈希之间的唯一性。
但是，PBKDF2提供了散列的唯一性吗？
编辑1
我需要使用相同的输入数据生成哈希(对于相同的输入，哈希键将被生成不止一次)，但是它不应该为不同的输入数据生成相同的哈希(在某些哈希算法中可能发生)。
浏览 2提问于2016-11-25得票数 0
回答已采纳
1回答
使用BCrypt技术将密码作为散列存储到数据库中。虽然与MD5、SHA-1等快速散列算法相比，它可能有点慢，但我们还是决定考虑安全性更重要的问题。
在.Net中，我使用实现了
BCrypt.Net.BCrypt.HashPassword("Password", BCrypt.Net.BCrypt.GenerateSalt(12));
在我们的站点中，管理员将为新用户创建用户名和密码。
存储散列密码没有问题。但是如果管理员想更新密码，他需要查看旧密码。我没有看到任何方法谴责存储在Bcrypt.Net中DB中的散列值。
有办法从Bcrypt哈希密码生成文本吗?不过，我同意这不可能，
浏览 3提问于2013-03-23得票数 2
3回答
我已经到了一个阶段，我需要选择一种方法，如何安全地将用户密码保存在数据库中，并能够在用户登录网站时检查它们是否匹配。
目前我正在使用Spring2.5，但是升级到Spring 3很慢。您建议我如何确保密码的安全？我知道这个问题在很多地方都有类似的回答，但我希望看到一些精确的，最新的答案，关于如何做到这一点，这也可以防止今天的密码黑客技术。
用salt对密码进行散列最合适的方法是什么？我的意思是，如果有的话，用什么算法更好呢？我是否应该使用bcrypt，并且jBCrypt是一个很好的库？有没有更好的方法来保护密码？那么使用Jasypt呢？您使用什么技术来安全地存储用户密码？
编辑：，尽管我没有得
浏览 5提问于2011-06-19得票数 6
回答已采纳
众所周知，密码破解尝试可以极大地受益于专用硬件，如大型GPU集群或FPGA。
对于常见的或流行的编程语言和/或框架(如.NET )，是否有共同推荐的密码哈希算法(PBKDF2 2/bcrypt)的实现，将身份验证过程中的密码散列部分卸载到专用硬件(如GPU或FPGAs )？
如果没有这样一个现有的库，它们不存在有什么好的理由吗？
浏览 0提问于2013-06-28得票数 4
回答已采纳
1回答
好的，下面是交易：(这是一个假设的场景)
比如说，由于某种原因，我有一台服务器(例如，遗留服务器)无法在网络上传输密码时使用加密。
我仍然希望将我的密码安全地存储在数据库中，例如，作为像bcrypt这样的专用密码哈希。当然，这意味着我不能在客户端散列它们并比较两个散列服务器端。
现在我的想法是:如果我在数据库中存储一个bcrypt哈希，例如，明文密码的SHA-256哈希，那么我可以通过网络计算明文密码的SHA-256哈希，并将其与服务器端SHA-256哈希的bcrypt哈希进行比较。
主要问题是：
是安全的，还是让我受到某种我现在没有想到的攻击？这种方法真的能给我带来什么好处吗?还是我只是在追
浏览 3提问于2021-03-24得票数 0
回答已采纳
我有一个数据数据库，其中密码列使用sha1值。我正计划将我的加密方法更新为Bcrypt或sha256。希望获得一个脚本，它将将所有sha1密码更新为sha256或Bcrypt值。非常感谢
例:如果我的密码是hari
sha1给出
46ebaaa2b80c7a3459b80353e085aaeed5aff2ff
sha256给出
f7b3781c5eafc2779a96bae2e4875a83ecce46f198e9f81916521d9d218c7da7
我要将所有的sha1更改为sha256
浏览 0提问于2019-04-05得票数 0
回答已采纳
1)在bcrypt的上下文中，特定的saltRound是否会生成唯一的盐？ 2)为什么我们不需要提供盐，当我们比较‘明文密码’和‘散列’密码时，如下面的例子中的情况： 来自[https://www.npmjs.com/package/bcrypt][1]的示例 bcrypt.compare(myPlaintextPassword, hash, function(err, res) { // res == true });
浏览 12提问于2019-04-04得票数 0
1回答
河豚密码验证
、、
我在这个问题中使用Spring安全性，但可能不需要它的知识来回答这个问题。
我试图了解security的河豚加密类(BCrypt)如何验证给定的密码。我试着：
用BCrypt.gensalt(10);生成盐
使用BCrypt.hashpw(clearText, salt)使用此salt对密码进行编码。
它使用了well.Then，我希望将使用过的salt存储在数据库中，以便在用户输入密码时能够重用它。
我意识到BCryptPasswordEncoder在检查密码时不使用salt。相反，它使用其散列密码作为salt加密密码：
public boolean matches(Char
浏览 1提问于2014-11-12得票数 0
回答已采纳
2回答
似乎对bcrypt的理解对一些人和我来说都不是很清楚，因为我仍然在阅读SOF用户的问题。我这里有一个关于如何使用bcrypt散列的例子：
据我所知，bcrypt是单向字符串，如果是这样的话，这意味着我只能将它用于散列。有一些文章提到bcrypt也用于加密，这对我来说毫无意义，因为如果我可以加密一个字符串，那就意味着我可以解密它。
问题是bcrypt是否可以用于加密，以及如何进行加密？有人能举个例子吗？
谢谢,
浏览 2提问于2012-02-19得票数 0
回答已采纳
1回答
我已经使用PHP password_*函数设置了我的密码散列
1) password_hash($password, PASSWORD_BCRYPT, array("cost" => 11);
2) return password_verify($password, $hashedPassword)? true : false;
一切都很好。
我还找到了password_needs_rehash()函数，其中包括tak 2参数、$hashedPassword和算法，例如：
password_needs_rehash($hashedPassword，PASSWORD_BCR
浏览 4提问于2014-03-20得票数 1
回答已采纳
1回答
所以我在试验bcrypt。我有一个类(如下所示，它是我从获得的)，其中有3个函数。第一个是生成随机的Salt，第二个是使用第一个生成的Salt生成散列，最后一个是通过将提供的密码与散列密码进行比较来验证提供的密码。
<?php
/* Bcrypt Example */
class bcrypt {
private $rounds;
public function __construct($rounds = 12) {
if(CRYPT_BLOWFISH != 1) {
throw new Exception("Bcrypt
浏览 1提问于2013-05-24得票数 5
回答已采纳
5回答
我在研究散列算法，但找不到答案。
Bcrypt使用Blowfish
河豚比MD5更好
问:但是，龙虾比SHA512好吗？
谢谢..
更新：
我想澄清一下，我理解散列和加密之间的区别。促使我这样问这个问题的是，，作者把bcrypt称为“自适应散列”。
由于bcrypt是基于Blowfish的，所以我认为Blowfish是一种散列算法。如果正如答案所指出的那样，它是加密的，那么在我看来，它不应该在本文中占有一席之地。更糟糕的是，他的结论是bcrypt是最好的。现在让我困惑的是phpass类(用于密码哈希)使用bcrypt (即河豚，即加密)。根据你们告诉我的这个新信息(河豚是加
浏览 4提问于2009-10-13得票数 232
回答已采纳
我们有一些购物车页面，用于访客和用户路径。我们希望允许用户在此过程中的任何时间登录，但实际上并不想创建另一个登录页面。我更希望我们可以简单地将用户重定向到现有的登录，并告诉Spring Security返回到哪个URL。
我知道当会话超时和/或在没有会话的情况下请求受保护的页面时，这会自动发生，但是有没有一种方法可以让我自己将URL提供给Spring Security呢？
浏览 1提问于2012-05-16得票数 2
回答已采纳
我希望允许任何大小的密码被提交。我目前使用bcrypt作为密码的关键派生函数，但是我已经意识到它的最大输入长度为72。
因此，我希望在将密码传递给bcrypt之前先使用sha512，允许任意大小的密码注册，因为我的理解是，sha512输出64个字节。
这可以练习吗？我听说混合和匹配散列，或“创建自己的密码”是不好的做法，但这似乎是一个可行的解决办法，以硬限制。
谢谢。
浏览 0提问于2014-06-21得票数 11
回答已采纳
我使用BCRYPT在数据库上散列用户的密码，而且由于来自客户端的连接可能并不总是安全的，所以我不想在身份验证时将其发送到服务器纯文本。我们正在使用Java /Spring的BCRYPT实现。
有什么方法可以比较同一来源的两种散列吗？
如果没有(可能是这样)：实现类似安全级别的最佳解决方法是什么。
谢谢你的建议。
浏览 1提问于2014-09-16得票数 2
我试图通过这个问题在一个特定的问题和更广泛的主题上的最佳实践之间走钢丝。
我的高级计划是将文件夹信息(以及相关/嵌套文件夹)和文件位置信息与用户访问资格一起存储在数据库中。所以..。文件夹本质上是虚拟的，根本不代表文件系统结构。文件应该是相似的，尽管我显然必须存储一个实际的文件系统位置。
2个相关问题-一个相当具体，一个我会接受一个基于答案的答案，还有一个更具概念性。
我读过一些关于散列文件路径的信息-这对这样的计划有意义吗，还是有点夸张了，我可以根据每个用户的用户id将上传的文件放在一个文件夹中-然后根据数据库中维护的关系和文件夹结构进行访问？
在更广泛的范围内，我非常感谢任何关于我的管理文
浏览 0提问于2013-01-16得票数 0
我想知道我的网站上的用户密码是否有可能/明智地使用password_hash两次。
所以让我们这么说：
用户在我的网站注册，他们输入一个密码，我们会调用这个input。
在创建帐户期间，它们的密码是$firstHash = password_hash($input, PASSWORD_BCRYPT) (例如，允许将此散列表示为"thisFirstHash“)。
一旦他们的密码被散列，它将再次被散列$firstHash = password_hash($firstHash, PASSWORD_BCRYPT) (例如，让我们将这个散列表示为"thisSecondHash
浏览 4提问于2016-08-03得票数 0
回答已采纳
我学习了spring boot和服务器端使用的hibernate对象关系映射(ORM)。
自从Spring boot使用JAVA启动以来，我喜欢它提供了能够通过接口执行CRUD的库，而不需要编写查询的代码实现。
我知道Spring boot这个框架不是针对移动设备的，但是我想知道如果在现代android手机中实现它来处理数据会不会太夸张了？一般的手机可以正常运行吗？
谢谢。
浏览 12提问于2017-01-21得票数 0
回答已采纳
1回答
我目前注册和验证用户的方法如下：
class User{
private String username;
private String password;
private String salt;
}
登记：
addUser(String username, String password){
user.setUsername(username);
user.setSalt(BCrypt.gensalt());
user.setPassword(BCrypt.hashpw(password, user.getSalt()));
}
认证：
authenticate(User user
浏览 3提问于2017-01-04得票数 0
回答已采纳
我希望在即将到来的项目中使用ServiceStack，但我想使用bcrypt对密码进行哈希处理。目前，内置存储库使用SHA256散列。有没有办法让我利用现有的验证码并使用bcrypt？
浏览 0提问于2012-10-11得票数 2
回答已采纳
我们有一个带有很酷的事物名称的URL，例如：
domain.com/name-of-a-news-with-cool-keywords-4673612453
我的问题是关于最后一个散列，通常用于从数据库中获取新闻ID的散列。
我们的应用程序已经完成，并以一种新的文章ID在数据库中不是增量的方式构建，它们是“随机”INT (这是因为我们使用编码器/解码器函数来生成字母数字键，如Youtube)。
我的一个朋友告诉我将其更改为更短的数字(这意味着要更改应用程序和内部逻辑中的许多内容)。
SEO的问题是:拥有短数字作为散列有那么重要吗？
我是说..。这真的是SEP的改进吗？
domain.com/
浏览 1提问于2011-04-15得票数 0
我使用bcrypt对一些web服务请求哈希多个密码。问题是，由于bcrypt，这些web服务请求可能需要几分钟才能完成。不太友好的用户。
我的问题是:我可以使用SHA散列这些密码并将它们保存到数据库中，然后让一个解耦的排队工作人员来使用bcrypt正确地散出这些密码吗？
这样，这些密码最终将使用bcrypt进行散列，但用户在此过程中不会有痛苦的体验。
目前，我正在使用.NET库BCrypt.Net。
📷
浏览 0提问于2015-05-05得票数 2
回答已采纳
1回答
我正在编写一个python脚本(在python3.4中)，它散列密码，然后另一个脚本让用户登录。
散列密码的那个：
import bcrypt
password1 = input("pass: ")
password=b"password1"
salt = bcrypt.gensalt()
hashed = bcrypt.hashpw(password, salt)
f=open("passwd.txt","w")
print(hashed,file=f)
f.close()
f1=open("salty.txt
浏览 1提问于2015-07-06得票数 0
1回答
为了了解bcrypt散列在不同平台上的比较，我在Nodejs服务器上生成了一个brypt散列，现在我要转到PHP，我想知道是否可以比较PHP中已经创建的bcrypt散列(在Nodejs中生成)
节点JS代码：
function hash(password) {
return new Promise(function(fulfill, reject) {
bcrypt.hash(password, 8, function(err, hashedPassword) {
if (err) {
reject(err);
} else {
浏览 2提问于2016-02-02得票数 0
回答已采纳
我有一个经理，他喜欢用一个简单的破折号(-)替换数据库中现有的bcrypt哈希，从而“禁用”帐户。
📷
这似乎有效，因为旧密码不再有效，并且没有任何其他密码可以匹配的有效bcrypt散列。但我很好奇，这是有效的还是会造成安全风险？
Is这是不使用密码的有效方法，还是会造成更大的安全风险？
这个特定的实现使用PHP函数，但我希望回答的重点是任何一般的实现。请不要把注意力集中在我经理的不良行为上。我们还有一个布尔字段，用于将用户设置为非活动/活动，我认为这个字段更好、更安全，但不是我想要关注的答案。
浏览 0提问于2018-06-11得票数 38
回答已采纳
现在，我们正在尝试将用户密码散列从基本的node.js v0.10.48应用程序迁移到Meteor服务器。我希望通过使用相同版本的bcrypt进行密码散列，可以迁移散列本身，但到目前为止，比较并不起作用。
我已经确保两者都使用相同版本的bcrypt，并且它们各自独立地比较他们自己创建的散列。但我不能将在服务器A上创建的散列与在服务器B上使用相同密码创建的散列进行比较。
有没有办法实现我想要的东西？
编辑:添加一些示例。第一个是在Meteor端运行：
它在这里散列的密码已经是一个SHA256散列(这部分在两个服务器之间排列得很好)。
> bcrypt.hashSync(SHA256 HAS
浏览 2提问于2018-03-28得票数 1
我搜索了Spring5Security的文档，但是在任何地方都找不到对BCrypt $2y$版本前缀的引用。
但是，在查看源代码时，我在中找到了一个引用。
可以选择提供一个“版本”($2a，$20亿，$2y)
有人能给我一些共识吗？在使用Spring5Security时，可以使用$2y$ bcrypt版本前缀吗？
浏览 3提问于2019-01-29得票数 2
回答已采纳
1回答
与我的Spring应用程序的工作版本相比，我只在gradle.build中添加了Security插件
compile('org.springframework.boot:spring-boot-starter-security')
并在我的一个类中使用了org.springframework.security.crypto.bcrypt.BCrypt。现在，我得到了“访问该资源需要完全身份验证”。如何解决这个问题，或者如何排除除BCrypt之外的所有Security特性(第二个更可取)？
浏览 1提问于2017-11-12得票数 0
回答已采纳
4回答
我的应用程序中有一个用例，它可以防止用户在重置密码的同时选择最后3个密码中的一个。我的前端是角，后端是弹簧启动。在我的场景中，用户密码存储为bcrypt散列。
如何将用户输入的密码与最后3个存储的bcrypt密码进行比较？
当我运行以下代码片段示例时，
BCryptPasswordEncoder b = new BCryptPasswordEncoder();
for(int i =0;i<10;i++) {
System.out.println(b.encode("passw0rd"));
}
它生成以下bcrypt散列。每个散列都是
浏览 0提问于2019-02-08得票数 14
回答已采纳
2回答
我正试着在这里做一个非常简单的任务。我有一个正在运行的服务器，上面运行着一个MySQL实例，我的rails应用程序使用它来填充。不幸的是，我使用devise来做所有的用户管理，现在有点卡住了。
因此，我有一个正在编写的C#应用程序。我只想通过已有的MySQL数据库验证用户和密码。
下面是我所知道的(或认为我知道的)：
Devise使用Bycrypt对他们的密码进行单向加密，然后将其存储在数据库中。问题是我不确定如何正确地实现bycrypt来生成正确的加密密码以进行验证。
下面是我当前生成散列密码的过程：
string pass = password.Text;
string mySalt =
浏览 0提问于2013-02-11得票数 2
回答已采纳
3回答
对于社区，我有一个简单的问题。曾几何时，当我开始编程时，我使用md5来散列密码，但后来发现md5很容易被破解，我应该使用salt来确保它的安全性。
然后我对md5没有信心，想要使用sha1，sha256，sha512加密。但问题是我现在有了加密形式的密码
md5("password"+"salt")
在这一点上我不知道users.So的密码我做了什么
sha1(md5("password"+"salt"))
现在，在这个领域花了一些时间之后，我发现sha1也不太安全，并且被破坏了，我应该做的是使用bcrypt()来保护密码。
所以
浏览 0提问于2013-04-11得票数 6
回答已采纳
上下文
我正在使用更新的bcrypt算法处理PHP系统(因为底层算法中存在已知的漏洞)。
因此，PHP的函数现在生成以$2y$为前缀的散列，因为旧的哈希(以$2a为前缀)易受攻击。
我在另一个Java系统中使用的Security的生成原始的$2a$格式散列，因为它的底层实现(jBCrypt而不是C BCrypt作为)不容易受到相同的攻击。
问题
检查PHP-在Security中生成哈希不起作用。有没有一种使用Security检查PHP生成的散列的方法？
示例
php > $pwd = password_hash('foo', PASSWORD_BCRYPT, ['
浏览 0提问于2018-10-31得票数 1
回答已采纳
2回答
在登录路线上，我检索密码。如何在数据库中找到具有匹配散列密码的用户，而不获取整个用户表并在服务器上遍历它？
在mysql中，每个用户注册时都有一个散列密码。我是这样生成的：bcrypt.hashpw(password.encode('utf-8'), bcrypt.gensalt()).decode('utf-8')
如果我在登录时执行相同的方法(对于相同的纯文本密码)，就会得到不同的散列。
所以就像这样：
select * from User where hash_generated_at_register = hash_generated_at_login
浏览 2提问于2018-06-20得票数 0
回答已采纳
在Grails3.0中，如何指定Security应该使用BCrypt进行密码编码？
以下几行应该提供我认为需要做的事情(但我只是猜测)：
import org.springframework.security.crypto.password.PasswordEncoder
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder
PasswordEncoder passwordEncoder
passwordEncoder(BCryptPasswordEncoder)
我的应用程序将spring-boot
浏览 2提问于2015-05-27得票数 6
回答已采纳
当存储您需要验证的用户密码(但不作为明文使用)时，当前的技术状态是：
散列密码
用盐
使用慢速哈希函数- bcrypt、scrypt等。
这提供了防止攻击者窃取密码数据库的最佳保护措施。它不解决其他问题，如钓鱼，恶意软件，密码重复使用等。
但是还有一个问题:缓慢的哈希函数可能允许拒绝服务攻击。单个请求消耗了大量的CPU，这使得DOS能够使用相对较少的并发请求，因此很难使用像IP节流这样的防御。
考虑到浏览器中JavaScript性能的提高，现在在浏览器中这样做可能是有意义的。我在这里假设站点使用SSL，所以JavaScript是安全地交付的。如果您不使用SSL，那么使用一个缓慢的散列函数对您来
浏览 0提问于2014-05-25得票数 32
回答已采纳
我有一个旧的web应用程序，注册了几个用户，它使用不安全的hash("sha256", trim($_POST["password"]))将散列密码存储在MySQL数据库中。现在，我想更新web应用程序，以使用更安全的BCRYPT password_hash()，但是我不想给所有注册用户发电子邮件，提醒他们更改密码。因此，我正在考虑以这种方式在sha256()哈希密码上实现BCRYPT：
为了保存密码，我将sha256()散列用户的密码：
$hashed_password = password_hash(hash("sha256", trim($
浏览 2提问于2019-06-16得票数 2
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM活动推荐
腾讯云开发者
