网井过来做安全评估，说要对手机号做加密(唯一登录字段)

[uoddsa]

网井过来做安全评估，说要对手机号做加密，而手机号是我们用作登录的唯一字段，该用什么加密方式～

[rffan]

base64 或者 AES 或者 DES，或者 MD5，反正你加密不加密查询都一样的效果，加密只是多了一层性能损耗。

[hugedeffing]

你这个是脱敏，直接搜脱敏关键字就可以了

[okwork]

什么行业的项目，网警会来过问数据字段的安全？

[ccoming]

明文保存？

[uoddsa]

@okwork 电商，我也不清楚为什么突然就过来问了。第一次遇见这种情况。

[iyaozhen]

aes 呗，都用同一个 key🤣

[uoddsa]

@ccoming 手机号这个字段是用来注册登录的，没有其他标示字段，所以是明文的

[LZSZ]

明文保存的确不好。

[Keyes]

@uoddsa 在他们来之前有没有国内商业安全公司向你们推销过安全产品或安全服务

[aru]

aes 加密即可，查询的时候先加密再比对

[Buges]

网警这也算做了件好事。

[okwork]

这个要求比较奇怪，大厂也不会加密吧，否则发送短信通知怎么发？

[whusnoopy]

跟你是用来做注册登录的唯一字段不冲突啊，你只要能保证加密不冲突，可以正反向加密解密，无非就是在 DB 里存的是 13800138000 还是一串乱码一样的字符串

[whusnoopy]

@okwork 又没有说只能单向 hash 加密，密钥在自己手里，也可以做可解密的加密啊

楼上有人提到了关键点：脱敏。就是如果你被人拖库了，如果没有解密密钥，人家拿到就是一串乱码，但如果直接明文存，那就有好多黑产可以玩

[okwork]

@whusnoopy 可以解密的“加密”只能算混淆吧，密码 hash 可不止防脱裤，连内部员工也能防（手动修改字符串的方式不算）。

[zacharyjia]

@okwork 但是手机号给 hash 了的话，还怎么给用户发短信啥的呀😂😂

[scofieldpeng]

@zacharyjia #16 要发送之前解密，比如，单独一个加减密服务来做加密解密操作，其他服务不需要的时候，都是加密的手机号来进行操作，楼上也说了原因了

[imdong]

显示的时候，135****1234 这样就好了，
至于数据库储存，网#不会看你数据库逻辑吧。
如果真看了，那就 base64 就 OK 了。

[kimqcn]

做个 HASH 就行了。用户登陆的时候，先做 HASH，再到数据库里查这个 HASH 就行了。

[okwork]

@zacharyjia
@scofieldpeng

我觉得这个是掩耳盗铃。既然别人都能脱裤了，程序中解密的算法一样可以被“脱”呀，这种可逆的加密有毛用？