has_secure_password có sử dụng bất kỳ hình thức muối nào không?

Question

Tôi muốn sử dụng has_secure_password để lưu trữ mật khẩu được mã hóa trong cơ sở dữ liệu. Tôi không thể tìm thấy trên internet nếu has_secure_password sử dụng bất kỳ hình thức muối nào. Nếu nó sử dụng muối, nó hoạt động như thế nào? Bất cứ ai có thể làm rõ điều này cho tôi?

Thijs

Answer 1

has_secure_password sử dụng bcrypt-ruby. bcrypt-ruby sẽ tự động xử lý việc lưu trữ và tạo ra các muối cho bạn. Một băm điển hình từ bcrypt-ruby trông giống như sau: $2a$10$4wXszTTd7ass8j5ZLpK/7.ywXXgDh7XPNmzfIWeZC1dMGpFghd92e. băm này được chia trong nội bộ bằng cách sử dụng chức năng sau:

def split_hash(h) 
    _, v, c, mash = h.split('$') 
    return v, c.to_i, h[0, 29].to_str, mash[-31, 31].to_str 
end 

Đối với ví dụ băm chức năng này sản lượng:

• phiên bản: 2a
• chi phí: 10
• muối: $ 2a $ 10 $ 4wXszTTd7ass8j5ZLpK/7.
• băm: ywXXgDh7XPNmzfIWeZC1dMGpFghd92e

Các == -function của BCrypt::Password chiết xuất muối và áp dụng nó vào chuỗi thông qua:

BCrypt::Password.create('bla') == 'bla' # => true