MySQL密码函数

Question

使用MySQL的密码函数来散列应用程序使用的密码是否被认为是好的或不好的做法？我可以看到优点和缺点。我很好奇，究竟是好还是坏，是否有共识。

Answer 1

为MySQL的PASSWORD()功能状态的文档：

密码（）函数是用来通过在MySQL服务器的认证系统;你不应该在你自己的应用程序中使用它。

阅读“You're Probably Storing Passwords Incorrectly”以获得有关散列和存储密码的更好建议。

MD5和SHA-1被认为太弱而无法用于密码。目前的建议是使用SHA-256。

我向MySQL提供了一个补丁来支持SHA2()函数，并且该补丁已被接受，但是由于他们的路线图已经发生变化，所以尚不清楚它何时会将其发布到发布的产品中。

在此期间，您可以使用散列和程序语言的盐析，并简单地将结果存储哈希数据库中的消化。如果您使用PHP，则可在hash()函数中使用SHA-256。

更新： MySQL 5.5.8于2010年12月发布，该版本包含对SHA2()函数的支持。

Answer 2

如果您使用的是数据库函数的定义来散列密码，那么他们必须在散列的数据库到达：因此，我要喜欢做它更接近“源”，即在前端应用程序，你不及格围绕暴露的信息。

Answer 3

我相信在MySQL实际PASSWORD功能是不安全的，并已被打破，但我找不到此刻的链接。我知道年龄较大（5岁以上的OLD_PASSWORD）绝对不安全。

当然，所有的密码都应该始终用盐存储（为了进一步隐藏）。例如：

UPDATE users SET password=MD5(CONCAT('salt', 'user provided value')) WHERE id=54 

也有MD5功能，但与巨大的彩虹表的兴起，它不是100％可靠的，完全混淆存储的密码的方式。

一个更好的方法是在密码到达数据库之前对它进行散列（用盐）。例如：

<?php 
$password = sha1(SALT.$_POST["password"]); 
$sql = "UPDATE users SET password='".$password."' WHERE id=54"; 
?>