Хеш-пароли php

может кто-нибудь объяснить, в чем смысл хеширования паролей,

Точка хеширования паролей используется в целях безопасности. Если вставить в виде обычного текста, любой, кто попадет в вашу базу данных, теперь будет иметь пароли всех ваших пользователей. Еще одна огромная проблема, связанная с этим, заключается в том, что он, скорее всего, компрометирует пользователя повсюду, а не только ваш сайт, поскольку большинство людей склонны использовать один и тот же пароль повсюду.

как это сделать с помощью php и что на самом деле хранится в базе данных.

Чтобы использовать его в PHP, вы просто берете строку, в этом примере $password = 'password';, и используете команду sha1();. Это вернет что-то вроде d0be2dc421be4fcd0172e5afceea3970e2f3d940. Также хорошей практикой является «солить» пароли с вашим php-скриптом, чтобы для успешного входа в систему требовался скрипт входа в PHP-скрипт. Пример:

<?php
    $salt1 = '2348SDasdf!^*__';
    $salt2 = '_a35j@*#(lsdf_';
    $password = sha1($salt1.$_POST['password'].$salt2); // d0be2dc421be4fcd0172e5afceea3970e2f3d940
?>

Затем вставьте $ password в свою базу данных. После входа в систему вам нужно будет ввести пароль, указанный для запуска через sha1, чтобы он совпадал с паролем в базе данных. Вы вставляете его в базу данных, как и любую другую строку, просто убедитесь, что у вас есть достаточная длина, предоставленная столбцу, который вы также пытаетесь вставить.

Скажем, кто-то взломал вашу систему (или нашел лазейку в ваших sql-запросах), тогда вы не хотите, чтобы они знали все пароли.

Таким образом, вы хешируете их перед сохранением. Таким образом, вы можете проверить, в порядке ли пароль, но не вывести его из хэша.

Если только вы не используете слабый хеш. Если бы вы использовали только sha1($password), то вы обнаружите, что размещение хеша часто используемых паролей в Google дает пароль менее чем за 0,1 секунды * (но в противном случае вы также можете найти радужные таблицы для всех видов хешей)

Итак, вы хотите добавить «соль», это означает, что вы генерируете какое-то значение мусора:

$salt = rand().rand().rand();

а затем сохраните

$hash = $salt."-".sha1($salt.$password);

при проверке вы знаете соль и можете проверить правильность пароля, но знание хэша и соли все еще затрудняет восстановление пароля. (если, конечно, у вас нет радужной таблицы, в которую входит соль)

* это требует некоторого объяснения: однажды я взял большую пользовательскую таблицу и обнаружил, что некоторые хэши появляются несколько раз. Я погуглил наиболее часто встречающийся, и он изменился на computer

Хеш - это «односторонняя функция». Вы вводите пароль и получаете приблизительно уникальный результат, который невозможно (с вычислительной точки зрения) преобразовать обратно в реальный пароль. В зависимости от хеша он будет выглядеть по-разному. Например, с sha1 (http://php.net/manual/en/function.sha1.php) всегда будет строка длиной 20 байт.

Преимущество в том, что настоящий пароль никогда не хранится в виде открытого текста. Чтобы проверить пароль пользователя, вы просто вычисляете хэш предполагаемого пароля и сравниваете его с сохраненным хешем. Если кто-то завладеет вашей базой паролей, у них все равно нет настоящих паролей.

Никто еще не сказал почему, поэтому позвольте мне: большинство пользователей - идиоты и везде используют один и тот же пароль. Вы же не хотите, чтобы хакер взломал вашу систему, захватил пароли, а затем взломал ваши учетные записи пользователей в любом другом месте.