มีเหตุผลใดบ้างที่จะไม่ใช้ bcrypt กับที่อยู่อีเมล?

คุณต้องมีที่อยู่อีเมลเพื่อค้นหาบันทึกผู้ใช้

โดยปกติแล้วคุณจะทำสิ่งนี้:

function create_account(email, password) {
    var pwhash = password_hash($password, PASSWORD_BCRYPT);
    // insert into users values ($email, $pwhash);
}

function login(email, password) {
    // select pwhash from users where email = $email;
    return password_verify($password, $pwhash); // true or false
}

password_hash($email) จะส่งคืนค่าที่แตกต่างออกไปเสมอ เนื่องจาก bcrypt มีเกลืออยู่ในแฮช

จาก วิกิพีเดีย:

ตัวอย่างเช่น [bcrypt hash] $2a$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy ระบุพารามิเตอร์ต้นทุนเป็น 10 ซึ่งบ่งชี้ถึง 210 รอบการขยายคีย์ เกลือคือ N9qo8uLOickgx2ZMRZoMye และแฮชที่ได้คือ IjZAgcfl7p92ldGxad68LJZdL17lhWy

หรือจาก เอกสาร PHP:

โปรดทราบว่าpassword_hash() ส่งคืนอัลกอริทึม ต้นทุน และเกลือซึ่งเป็นส่วนหนึ่งของแฮชที่ส่งคืน ดังนั้นข้อมูลทั้งหมดที่จำเป็นในการตรวจสอบแฮชจึงรวมอยู่ในนั้น ซึ่งช่วยให้ฟังก์ชันตรวจสอบสามารถตรวจสอบแฮชได้โดยไม่จำเป็นต้องจัดเก็บข้อมูลเกลือหรืออัลกอริทึมแยกต่างหาก