強制密碼更改的最佳方式，而不保存爲純文本？

試圖找出一個密碼安全的方式來散列用戶的密碼，以便我能夠判斷新密碼用戶是否正在挑選與原始密碼「顯着不同」，而不必將原始密碼保存爲明文。這是可行的嗎？強制密碼更改的最佳方式，而不保存爲純文本？

2012-05-01 Frank

你有用戶輸入他們的舊密碼以及新的密碼（應爲）。比較舊的哈希值和舊的哈希值以進行驗證，然後比較提供的兩個明文密碼：舊的和新的。

2012-05-01 19:33:58

如果有24個記住密碼？ – Kickaha

老實說？像這樣做可能是個壞主意。無論如何，正確（而且唯一）的方法是將以前的密碼存儲爲加密文本，而不是在這種情況下散列數據。但是，您必須非常非常小心地使用您的加密密鑰。 –

缺點是用戶可以通過「密碼恢復」工作流程繞過比較，在設置新密碼時他/她不需要輸入舊密碼。 – Frank

沒有它沒有，這是用哈希的整個想法！

您需要使用可逆加密。

2012-05-01 19:34:59 Kickaha

這是一個可行的方法：

2012-05-01 19:35:39 Antoine

回答