真的不需要为bcrypt生成盐吗？

Question

我正在使用golang.org/x/crypto/bcrypt包来存储密码。看一下文档和其他SO问题，在我生成哈希之前，似乎我不应该（或者至少没有拥有）为密码生成盐。这似乎与我读到的关于密码学和现代密码存储的所有内容相反，并且让我有点紧张。是否真的足够安全，只需将用户的正常密码传递到bcrypt.GenerateFromPassword，或者我读错了什么？

Answer 1

应用程序的bcrypt包generates the salt。 GenerateFromPassword的返回值对密码的成本，盐和哈希值进行编码。