摘要原理

摘要是一种算法的总称, 使用这种算法对原始数据进行运算后生成字符串.不同的原始数据理论上计算的结果是不同的.

这样达到的效果是针对原始数据生成其独一无二的'指纹'.通过对比数据的'指纹'可以识别数据的真伪.摘要算法是不可逆的, 即使拿到了这个指纹, 也无法利用这个指纹恢复出原始数据.因此安全性有一定的保障.

常见的摘要算法有md5, sha1, sha256等.md5和sha1现在已经不是安全的摘要算法了.谷歌号称已经可以产生任意"碰撞".碰撞的意思是说不同的原始数据有了同样的运算结果.如果可以产生任意碰撞, 就意味着任意的结果都可以用另一个原始数据来仿冒, 所以不安全了.

在保存用户的密码时,常用的方法是使用摘要算法生成用户密码原始数据的摘要,在服务器数据库里面只保存这个摘要而不是用户的原始密码.这样做的好处是即使数据库被黑客攻破, 被盗的也只是用户的密码的摘要而不是原始密码.安全性有一定的提高.

可即便是这样做, 安全性的提高也是有限的, 因为很多用户使用的是简单密码.而这些简单密码的"指纹"早已被计算出来并生成了一个"指纹库", 即彩虹表.如果用户使用了简单的密码, 如生日/单词等, 黑客可以通过比对, 轻易地获得用户的原始密码.

为了解决这个问题, 进一步提高安全性, "加盐"的操作被应用在用户密码保存上.

加盐原理

为了避免用户的简单密码可以被轻易识别, 在生成摘要时, 我们可以加点作料.作料可以是一个固定的字符串, 也可以是一个根据用户不同的随机字符串.如果是后者, 这个随机字符串也需要被存储在服务器中.

具体流程

1.用户输入密码
2.服务接受到密码后加盐转成复杂字符串
3.对这个字符串使用摘要算法
4.和数据库中存储结果比对.

Python实现

    # 定义函数将用户密码转为加盐字符串
    @staticmethod
    def salted_password(password, salt='$!@><?>HUI&DWQa`'):
        """$!@><?>HUI&DWQa`"""
        salted = password + salt
        hash = hashlib.sha256(salted.encode('ascii')).hexdigest()
        return hash

    # 用户登录时比对加盐字符串
    @classmethod
    def login(cls, form):
        salted = cls.salted_password(form['password'])
        u = User.find_by(username=form['username'], password=salted)
        if u is not None:
            result = '登录成功'
            return u, result
        else:
            result = '用户名或者密码错误'
            return User.guest(), result

    #用户注册时存储加盐字符串
    @classmethod
    def register(cls, form):
        valid = len(form['username']) > 2 and len(form['password']) > 2
        if valid:
            form['password'] = cls.salted_password(form['password'])
            u = User.new(form)
            result = '注册成功<br> <pre>{}</pre>'.format(User.all())
            return u, result
        else:
            result = '用户名或者密码长度必须大于2'
            return User.guest(), result