像大多数用户一样，我只是试图找出一种安全的密码存储方式。在这里我没有找到（或者可能是因为我理解不够）如何从数据库中检索含有独特盐值的哈希值，并将其与散列密码分离的方法，尤其是当每个密码都有唯一盐值而同时需要将盐值和密码存储在一个单独的列中。
我发现了许多加密密码的好方法（如SHA-256），但是不确定如何存储和检索密码，尤其是在PHP手册中找不到相关信息。
到目前为止，这是我所理解的：
SHA('$salt'.'$password') // My query sends the password and salt
// (Should the $salt be a hash itself?)
在那之后，我对盐一无所知。
没有盐的情况下检索密码很容易，但是盐困扰着我。我从哪里获取 $salt 的值，尤其是如果它是唯一且安全的？我需要将它们隐藏在另一个数据库中吗？常数（似乎不安全）？
编辑：HMAC 中的关键变量应该是 salt 还是其他什么东西？
首先，你的数据库管理系统（MySQL）不需要支持密码哈希。你可以在PHP端完成所有操作，这也是你应该做的。
如果你想要将盐和哈希值存储在同一列中，你需要将它们连接起来。
// the plaintext password
$password = (string) $_GET['password'];
// you'll want better RNG in reality
// make sure number is 4 chars long
$salt = str_pad((string) rand(1, 1000), 4, '0', STR_PAD_LEFT);
// you may want to use more measures here too
// concatenate hash with salt
$user_password = sha512($password . $salt) . $salt;
// the plaintext password
$password = (string) $_GET['password'];
// the hash from the db
$user_password = $row['user_password'];
// extract the salt
// just cut off the last 4 chars
$salt = substr($user_password, -4);
$hash = substr($user_password, 0, -4);
// verify
if (sha512($password . $salt) == $hash) {
echo 'match';
}
你可能想看看phpass，它也使用了这种技术。它是一个PHP哈希解决方案，其中使用了一些其他的技术，比如盐值。
你绝对应该看一下WolfOdrade链接的答案。
个人建议使用MySQL的内置函数来完成此操作。
我通常会在数据库配置文件中创建一个函数，返回一个密钥字符串。配置文件应该位于站点根目录之外，以便Web服务器可以访问该文件但其他人无法访问。例如：
function enc_key(){
return "aXfDs0DgssATa023GSEpxV";
}
然后在你的脚本中使用它与MySQL中的SQL查询、AES_ENCRYPT和AES_DECRYPT函数，像这样：
require_once('dbconf.inc.php');
$key = enc_key();
//When creating a new user
$sql = "INSERT INTO users (username, password) VALUES ('bob', AES_ENCRYPT('{$key}', {$password}))";
//When retrieving users password
$sql = "SELECT AES_DECRYPT('{$key}', password) AS password FROM users WHERE username like 'bob'";
SHA2()函数，提供SHA224、SHA256、SHA384和SHA512哈希算法。如果您使用的是早期版本的MySQL，请在PHP中使用hash()函数。 - Bill Karwin