这是我正在使用的生成随机盐的函数：
function generateRandomString($nbLetters){
$randString="";
$charUniverse="abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";
for($i=0; $i<$nbLetters; $i++){
$randInt=rand(0,61);
$randChar=$charUniverse[$randInt];
$randString=$randomString.$randChar;
}
return $randomString;
}
这是用于非商业网站的。它只用于生成盐（将其存储在数据库中，并与用户提交的密码一起用于散列）。
这样做合适吗？我应该使用更大的字符子集，如果需要，PHP 中有简便的方法可以实现吗？
PASSWORD_BCRYPT算法。无需提供自己的salt。警告：根据uniqid的文档，以下实现不会产生不可预测的盐。
来自php sha1页面：
$salt = uniqid(mt_rand(), true);
如果你使用的是Linux，那么/dev/urandom可能是你最好的随机数源。它由操作系统本身提供，因此比任何PHP内置函数更可靠。
$fp = fopen('/dev/urandom', 'r');
$randomString = fread($fp, 32);
fclose($fp);
base64_encode()的函数来使其可读。没有必要自己操作字符。openssl_random_pseudo_bytes()是获取一堆随机字节的最简单方法。在*nix系统上，它在幕后使用/dev/urandom。在Windows系统上，它使用内置于OpenSSL库中的不同算法。password_hash() 在 PHP 5.5 及更高版本中可用。我很惊讶这里没有提到它。
使用 password_hash()，无需生成盐，因为盐是自动使用 bcrypt 算法生成的 —— 因此不需要编写一组字符。
相反，将用户提交的密码与存储在数据库中的唯一密码哈希值进行比较，可以使用 password_verify()。只需在用户数据库表中存储用户名和密码哈希值，就可以使用 password_verify() 将其与用户提交的密码进行比较。
password_hash() 的工作原理：
password_hash() 函数输出一个唯一的密码哈希值，当将该字符串存储在数据库中时——建议该列允许最多 255 个字符。
$password = "goat";
echo password_hash($password, PASSWORD_DEFAULT);
echo password_hash($password, PASSWORD_DEFAULT);
echo password_hash($password, PASSWORD_DEFAULT);
// Output example (store this in the database)
$2y$10$GBIQaf6gEeU9im8RTKhIgOZ5q5haDA.A5GzocSr5CR.sU8OUsCUwq <- This hash changes.
$2y$10$7.y.lLyEHKfpxTRnT4HmweDKWojTLo1Ra0hXXlAC4ra1pfneAbj0K
$2y$10$5m8sFNEpJLBfMt/3A0BI5uH4CKep2hiNI1/BnDIG0PpLXpQzIHG8y
要验证哈希密码，您可以使用password_verify()函数：
$password_enc = password_hash("goat", PASSWORD_DEFAULT);
dump(password_verify('goat', $password_enc)); // TRUE
dump(password_verify('fish', $password_enc)); // FALSE
$password = 'MyPassword';
$salt = 'MySaltThatUsesALongAndImpossibleToRememberSentence+NumbersSuch@7913';
$hash = password_hash($password, PASSWORD_DEFAULT, ['salt'=>$salt]);
// Output: $2y$10$TXlTYWx0VGhhdFVzZXNBT.ApoIjIiwyhEvKC9Ok5qzVcSal7T8CTu <- This password hash not change.
$salt = password_hash("goat", PASSWORD_DEFAULT); 答案已更新。 - Kristoffer Bohmannrand(0,61) 替换为 mt_rand(0, 61)，你的程序就能正常运行了（因为mt_rand更适合生成随机数）...md5($pass.$salt)，那么你白费了盐值的作用。我个人建议对哈希值进行拉伸...例如：function getSaltedHash($password, $salt) {
$hash = $password . $salt;
for ($i = 0; $i < 50; $i++) {
$hash = hash('sha512', $password . $hash . $salt);
}
return $hash;
}
如果想了解有关哈希伸展的更多信息，请查看此SO答案 ...
$nbLetters数字，并将其编码为base62。这将使维护程序员（也许是您！）在几年后遇到它时更加清晰明了。// In a class somewhere
private $chars = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";
private function getBase62Char($num) {
return $chars[$num];
}
public function generateRandomString($nbLetters){
$randString="";
for($i=0; $i < $nbLetters; $i++){
$randChar = getBase62Char(mt_rand(0,61));
$randString .= $randChar;
}
return $randomString;
}
//Key generator
$salt = base64_encode(openssl_random_pseudo_bytes(128, $secure));
//The variable $secure is given by openssl_random_ps... and it will give a true or false if its tru then it means that the salt is secure for cryptologic.
while(!$secure){
$salt = base64_encode(openssl_random_pseudo_bytes(128, $secure));
}
这是我的方法，它使用来自大气噪声的真正随机数。它与伪随机值和字符串混合在一起。经过洗牌和哈希处理。以下是我的代码：我称之为过度设计。
<?php
function generateRandomString($length = 10) {
$characters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ';
$randomString = '';
for ($i = 0; $i < $length; $i++) {
$randomString .= $characters[rand(0, strlen($characters) - 1)];
}
return $randomString;
}
function get_true_random_number($min = 1, $max = 100) {
$max = ((int) $max >= 1) ? (int) $max : 100;
$min = ((int) $min < $max) ? (int) $min : 1;
$options = array(
CURLOPT_RETURNTRANSFER => true,
CURLOPT_HEADER => false,
CURLOPT_FOLLOWLOCATION => true,
CURLOPT_ENCODING => '',
CURLOPT_USERAGENT => 'PHP',
CURLOPT_AUTOREFERER => true,
CURLOPT_CONNECTTIMEOUT => 120,
CURLOPT_TIMEOUT => 120,
CURLOPT_MAXREDIRS => 10,
);
$ch = curl_init('http://www.random.org/integers/?num=1&min='
. $min . '&max=' . $max . '&col=1&base=10&format=plain&rnd=new');
curl_setopt_array($ch, $options);
$content = curl_exec($ch);
curl_close($ch);
if(is_numeric($content)) {
return trim($content);
} else {
return rand(-10,127);
}
}
function generateSalt() {
$string = generateRandomString(10);
$int = get_true_random_number(-2,123);
$shuffled_mixture = str_shuffle(Time().$int.$string);
return $salt = md5($shuffled_mixture);
}
echo generateSalt();
?>
$a = array('a', 'b', ...., 'A', 'B', ..., '9');
shuffle($a);
$salt = substr(implode($a), 0, 2); // or whatever sized salt is wanted
我认为一个非常好的盐值例子是用户名（如果你正在谈论密码哈希并且用户名不会改变）。
你不需要生成任何东西，也不需要存储更多的数据。
$salt = base64_encode(mcrypt_create_iv(PBKDF2_SALT_BYTES, MCRYPT_DEV_URANDOM));
mysql_real_escape_string()将图像存储在数据库中。 - rook