第二种观点的安全好处是,我通过postgresql对用户密码进行hash&salt的计划有缺陷吗?

以下是我的计划和目标:

总体目标:

• 具有一定简单性的安全性;数据库到数据库的可转移性,因为我不是专家,可能会搞砸,我不想让很多用户重置密码。
• 易于擦除用于发布“擦除”测试数据数据库的密码(e、 g.我希望能够使用postgresql语句简单地将所有密码重置为简单的密码,以便测试人员可以自己使用这些测试数据)。

散列密码

• 使用全局salt,例如“90fb16b6901dfceb73781ba4d8585f0503ac9391”。
• 使用的是用户的密码,例如“password123”(我将在注册表单中警告密码不足)

全局salt、特定于帐户的salt和密码的组合是通过postgresql中的一些散列方法进行散列的(还没有找到postgresql中散列函数的文档,但是如果我能找到它,就可以使用sha-2或类似的东西)。

恢复帐户

要更改他们的密码,他们必须经过标准的密码重置(重置的电子邮件会发送到原始电子邮件以及他们设置的最新帐户电子邮件)。