为什么要在数据库中存储纯文本或加密(而不是散列)密码?

我能想到的唯一真正的原因是,当数据库属于一个本身以实际应用程序为目标的系统时。例如,当你有程序为你登录某个东西时(电子邮件客户端、即时消息客户端等)。所有这些都必须以可恢复的方式存储密码才能获得访问权限,因为目标应用程序不会在两者之间做出决定 和 用户通过工具

我能想到的一个原因是允许密码恢复选项。无法恢复系统不知道的密码。

当然,另一种方法是系统只需将密码重置为新密码,然后向您发送新密码。

也许你是个黑客,想用或卖?

重要的是要明白,密码加密不会保护您的网站,它只能保护您的密码。

如果你的网站没有足够的保护,密码加密将不会使它从破解安全。如果你的系统被破解了,黑客可以对它造成不可弥补的损害,还可以访问机密信息,包括密码数据库。但如果你将这些信息加密存储,黑客实际上就无法利用这些信息。破解加密密码需要大量的时间和处理能力,即使在今天的计算机上也是如此。

1) 大多数质询-响应认证协议都要求服务器知道明文密码。也有例外,但它们不受欢迎,也很难实施。

2) 存储密码允许密码恢复。

任何人都不应该把这一论点作为存储明文密码的一个很好的理由,因为有几个原因它被误导了。

当然,您可以将所有密码以纯文本形式存储在存储器(例如数据库)中。但不建议这样做。如果有人设法入侵你的服务器,从数据库中获取你的数据,他也会得到所有的密码。在这种情况下,即使只是存储一个用md5这样的常用方法散列的密码也不太省钱。因为有彩虹表(谷歌搜索这个),查找密码。

我能想到的唯一“好”的理由是,付钱给你开发应用程序的客户或你的经理坚持要这样做。我想不出有什么 原因。