Question

我需要验证使用python passlib生成的密码哈希值。我的目标是使用passlib的pbkdf2_sha512方案来散列所有用户密码。但是，由于我们后端的性质，我需要从php脚本，js和java验证这个密码。我还没有在其中任何一个中找到可以使用passlib哈希并验证密码的库。在我开始在php，js和java中实现passlib的散列算法之前，我想知道是否存在。

Answer 1

我可以为php提供这个解决方案：

/*
 * This function creates a passlib-compatible pbkdf2 hash result. Parameters are:
 *   $algo        - one of the algorithms supported by the php `hash_pbkdf2()` function
 *   $password    - the password to hash, `hash_pbkdf2()` format
 *   $salt        - a random string in ascii format
 *   $iterations  - the number of iterations to use
 */
function create_passlib_pbkdf2($algo, $password, $salt, $iterations)
{
  $hash = hash_pbkdf2($algo, $password, base64_decode(str_replace(".", "+", $salt)), $iterations, 64, true);
  return sprintf("\$pbkdf2-%s\$%d\$%s\$%s", $algo, $iterations, $salt, str_replace("+", ".", rtrim(base64_encode($hash), '=')));
}

我从现有的passlib生成的哈希字符串中复制salt，iterations和algorithm，并向它们提供明文密码给它，它将生成与passlib相同的结果。

这是一个基于以上内容验证passlib pbkdf2密码的php函数：

/*
 * This function verifies a python passlib-format pbkdf2 hash against a password, returning true if they match
 * only ascii format password are supported.
 */
function verify_passlib_pbkdf2($password, $passlib_hash)
{
    if (empty($password) || empty($passlib_hash)) return false;

    $parts = explode('$', $passlib_hash);
    if (!array_key_exists(4, $parts)) return false;

    /*
     * Results in:
     * Array
     * (
     *     [0] =>
     *     [1] => pbkdf2-sha512
     *     [2] => 20000
     *     [3] => AGzdiek7yUzJ9iorZD6dBPdy
     *     [4] => 0298be2be9f2a84d2fcc56d8c88419f0819c3501e5434175cad3d8c44087866e7a42a3bd170a035108e18b1e296bb44f0a188f7862b3c005c5971b7b49df22ce
     * )
     */
    $t = explode('-', $parts[1]);
    if (!array_key_exists(1, $t)) return false;

    $algo = $t[1];
    $iterations = (int) $parts[2];
    $salt = $parts[3];
    $orghash = $parts[4];

    $hash = create_passlib_pbkdf2($algo, $password, $salt, $iterations);
    return $passlib_hash === $hash;
}

Answer 2

在java中你可以使用jython，它允许使用python库并执行python代码。

以下是使用passlib验证哈希的示例java函数：

Boolean verify_pbkdf2_sha512(String pw, String hash) {

    PythonInterpreter python = new PythonInterpreter();

    python.exec("from passlib.hash import pbkdf2_sha512");

    python.set("pw", new PyString(pw));
    python.set("hash", new PyString(hash));

    python.exec("valid = 1 if pbkdf2_sha512.identify(hash) and pbkdf2_sha512.verify(pw, hash) else 0");

    Boolean valid = ((PyInteger)python.get("valid")).asInt()==1;

    return (Boolean)valid;
}

您可以在我的博客上找到更多信息：http://codeinpython.blogspot.com/2015/11/using-python-passlib-in-java.html

验证python passlib

2 个答案: