passlib.hash.sha256_crypt足以存儲用戶密碼嗎？

Question

我正在App Engine應用程序中使用passlib.hash.sha256_crypt算法進行實驗，實現起來相當簡單。

這是安全的，它的自動生成的鹽和80,000輪的默認參數？它應該首先填充隨機字符？

密碼正在從表格中張貼並按上述加密。

Answer 1

我無法判斷「足夠安全」的含義。

最後我讀了最好的選擇是scrypt，bcrypt或pbkdf2。如果你不能使用這些，那麼我推薦sha512進行數千次迭代。使用passlib CryptContext的好處之一是您可以根據需要在更高版本的計算機上更新您的計劃（以及更好的實現可用），同時保持與之前存儲的密碼的簡單兼容性。使用passlib CryptContext可以很容易地在GAE上實現sha512_crypt。

我不確定用字符填充（在鹽分上）會添加任何東西。