如何迁移密码哈希？

Question

如果我将密码存储为salted MD5哈希，但想要将它们移动到使用bcrypt，那么执行该转换的最佳方法是什么？ （鉴于我无法取回密码）

我应该加密md5哈希吗？那些我不想要的加密意义吗？

Answer 1

通常，网站只会让用户更改密码。如果将hash_version字段添加到users表，则可以跟踪当前的哈希类型。当有人使用MD5登录时，请让他们更改密码。

经过一段时间后，您可以选择使所有剩余的MD5密码失效（强制用户重置为登录）。