【MD5加密加盐】

MD5加密加盐

---

---

前言

今天的在学过滤器的JEE课程里面偶然了解到了加密，一时起兴，于是本文就加密做一个简单简单简单的介绍。

---

一、加密密码（哈希函数）

1、如果开发者需要保存密码（比如网站用户的密码），要考虑如何保护这些密码数据，网站用户密码的泄露是一件非常严重的事情，容易引起用户恐慌，所以在安全方面是重中之重，直接将密码以明文写入数据库中是极不安全的，因为任何可以打开数据库的人，都将可以直接看到这些密码。

2、解决的办法是将密码加密后再存储进数据库，比较常用的加密方法是使用哈希函数（Hash Function）。哈希函数的具体定义，网上和相关书籍中有很多，简单地说，它的特性如下：

• 原始密码经哈希函数计算后得到一个哈希值；
• 改变原始密码，哈希函数计算出的哈希值也会相应改变；
• 同样的密码，哈希值也是相同的；
• 哈希函数是单向、不可逆的。也就是说从哈希值，你无法推算出原始的密码是多少；

有了哈希函数，我们就可以将密码的哈希值存储进数据库。用户登录网站的时候，我们可以检验用户输入密码的哈希值是否与数据库中的哈希值相同。由于哈希函数是不可逆的，即使有人打开了数据库，也无法看到用户的密码是多少。

注：但不意味着存储经过哈希函数加密后的密码就是绝对的安全！

二、为密码加盐

盐（Salt） 是什么？就是一个 随机生成的字符串。我们将盐与原始密码连接（concat）在一起（放在前面或后面都可以），然后将concat后的字符串加密。Salt这个值是由系统随机生成的，并且只有系统知道。即便两个用户使用了同一个密码，由于系统为它们生成的salt值不同，散列值也是不同的。

我们知道，如果直接对密码进行散列，那么黑客可以对通过获得这个密码散列值，然后通过查散列值字典（例如MD5密码破解网站），得到某用户的密码。

加Salt可以一定程度上解决这一问题。所谓加Salt方法，就是加点“佐料”（Salt这个单词就是盐的意思）。其基本想法是这样的：当用户首次提供密码时（通常是注册时），由系统自动往这个密码里撒一些“佐料”，然后再散列。而当用户登录时，系统为用户提供的代码撒上同样的“佐料”，然后散列，再比较散列值，已确定密码是否正确。

这样也就变成了将密码+自定义的盐值来取MD5。但是如果黑客拿到了你的固定的盐值，那这样也不安全了。所以比较好的做法是用随机盐值。用户登陆时再根据用户名取到这个随机的盐值来计算MD5。

三、MD5加盐

MD5算法的原理可简要的叙述为：MD5码以512位分组来处理输入的信息，且每一分组又被划分为16个32位子分组，经过了一系列的处理后，算法的输出由四个32位分组组成，将这四个32位分组级联后将生成一个128位散列值。

• 一般使用的加盐：
  md5(Password+UserName)，即将用户名和密码字符串相加再MD5，这样的MD5摘要基本上不可反查。但有时候用户名可能会发生变化，发生变化后密码即不可用了（验证密码实际上就是再次计算摘要的过程）。

---

• 因此我们做了一个非常简单的加盐算法，每次保存密码到数据库时，都生成一个随机16位数字，将这16位数字和密码相加再求MD5摘要，然后在摘要中再将这16位数字按规则掺入形成一个48位的字符串。

---

• 在验证密码时再从48位字符串中按规则提取16位数字，和用户输入的密码相加再MD5。按照这种方法形成的结果肯定是不可直接反查的，且同一个密码每次保存时形成的摘要也都是不同的。

总结

提示：这里对文章进行总结：

以上就是今天要讲的内容，本文仅仅简单介绍了密码加密,当然也都是在网上整合出来的资料，如有不妥还望指出。

文章参考
加盐密码深入详情参考