Question

在这里阅读了一些关于盐渍密码的信息后，似乎最好为每个用户使用一种独特的盐。我正在努力实现Flask-Security atm，从文档看来你只能设置一个全局盐：即SECURITY_PASSWORD_SALT ='thesalt'

问题：如何为每个密码制作一个独特的盐？

谢谢！

编辑：从Flask-Security上的文档中我发现了这一点，这似乎再次暗示这个模块只对开箱即用的所有密码使用单个盐。

flask_security.utils.get_hmac(password)
    Returns a Base64 encoded HMAC+SHA512 of the password signed with the salt 
    specified by SECURITY_PASSWORD_SALT.

Answer 1

是的，如果使用bcrypt（以及其他方案，如des_crypt，pbkdf2_sha256，pbkdf2_sha512，sha256_crypt，sha512_crypt），Flask-Security会按设计使用每用户盐。

'SECURITY_PASSWORD_SALT'的配置仅用于HMAC加密。如果您使用bcrypt作为散列算法，Flask-Security使用passlib进行散列，并在散列过程中生成随机盐。问题268中提到了这种混乱：https://github.com/mattupstate/flask-security/issues/268

可以在代码中验证，从加密步行到passlib：

flask_security / utils.py（第143-151,39和269行）

def encrypt_password(password):
   ...
   return _pwd_context.encrypt(signed)

_pwd_context = LocalProxy(lambda: _security.pwd_context)

flask_security / core.py（269,244-251和18）

pwd_context=_get_pwd_context(app)

def _get_pwd_context(app):
    ...
    return CryptContext(schemes=schemes, default=pw_hash, deprecated=deprecated)

from passlib.context import CryptContext

最后来自：https://pythonhosted.org/passlib/password_hash_api.html#passlib.ifc.PasswordHash.encrypt

请注意，每次调用encrypt（）都会生成一个新的盐

Answer 2

事实证明，如果你使用bcrypt，它会处理salting并将其与hash一起存储。所以我走那条路！

感谢这个主题让我发现了这个发现：

Do I need to store the salt with bcrypt?

使用Flask-Security的每位用户的唯一盐

2 个答案: