aolu11的专栏

原创 安全保存用户密码的几大准则

密码要哈希。如果明文密码被攻破，那么该用户使用相同密码的所有账户都很危险。哈希要加盐。简单哈希（md5/sha1），很容易被撞库或查表。加盐要随机。加个123之类的盐和不加区别不大。服务端哈希。客户端哈希有用没？有。至少可以避免在客户端网络明文密码被截取，但足够么？不够。攻击者只要拿到哈希，就当密码一样用而无需知道密码。慢运算。这是关于 Timing Attack 的，当然在web场景下不太适用，