保存密码时需要加盐 Hash 之后保存密文，那么，如果每个密码使用的“盐”不同的话，“盐”怎么保存？

[cloudfstrife]

[scukmh]

$yourSalt$passwordHash$

[shengchen11]

有些 salt 就是 username 吧

[CloudMx]

Bcrypt，可以看看。

[Telegram]

对应的盐也存入数据库呗。

[wevsty]

salt 可以明文储存在数据库。

Hash 加盐这种做法要保障安全的话，除了 Hash 算法的选择以外也需要盐足够长，一般认为盐的长度应该和密码长度一样长才行。

另外目前是更推荐直接用 BCrypt。

[atom234]

用现有字符串字段，如果盐不香，可以放点味精、料酒、蚝油之类的

[yisheyuanzhang]

推荐 Bcrypt

[cyannnna]

Bcrypt +10086

[a7217107]

bcrypt 不用手动存盐

[php01]

4 年前流行这做法，现在还用这做法的，可能大部分都是很久没看过新东西的老油条了吧

[qdwang]

存在隔壁

[miniliuke]

@php01 现在都流行咋搞

[hwdef]

aes(md5(key))

[RyougiShiki]

django 自带的 admin 注册个用户到数据库表看一下就明白了，同 1 楼回答。

[jorneyr]

Bcrypt 的弊端就是效率太低，当大批量从文件导入创建用户，且每个用户的密码还不一样时，非常非常慢

[ahhui]

@jorneyr 这个效率是故意设置的，防止被脱裤后直接拿来跑字典和彩虹表

[ech0x]

https://blog.coderzh.com/2016/01/10/a-password-security-design-example/

[ech0x]

salthash1 = Bcrypt(password + salt1)
salthash2 = sha512(salthash1 + salt2)
其中 salthash1 不能保存在数据库里

[yisheyuanzhang]

@jorneyr Bcrypt 有个参数影响加密效率（ GENSALT_DEFAULT_LOG2_ROUNDS = 10 ），为了防止暴力破解

[xuanbg]

如果每个数据的盐都不同的话，就加一个字段存起来呀。最简单的是用现成的账号 hash 后做盐，这样就不需要额外字段存了。