MySQL 密码哈希算法加入随机盐的改进

MySQL作为关系型数据库管理系统，对于保护用户的密码十分重视。在储存用户密码时，一般是将密码散列成密文再进行储存。然而，我们常说的MD5、SHA、BCrypt等哈希算法在某些情况下可能会被黑客攻破。因此，我们需要将哈希算法加入一个随机盐的机制来增强密码的安全性。

阅读更多：MySQL 教程

什么是哈希盐？

在介绍哈希盐机制前，我们先来了解一下哈希算法的原理。哈希算法是将原来的消息（message）通过一个映射函数（hash function）转换成固定长度的字符串（hash value），该字符串称为消息摘要（message digest）或哈希值（hash），实现从任意长度的数据中提取固定长度的摘要的函数就是哈希函数。

而哈希盐则是一种字符串，其目的在于提高哈希算法的安全性。哈希盐并不是单纯地与密码字符串拼接在一起再进行哈希，而是通过特定的算法将两者混合（比如SHA-256），最后再进行哈希。这种哈希过程需要用到哈希盐，即两个字符串的混合杂糅，使得黑客无法通过纯暴力破解密码。

例如，密码为“123456”，哈希盐为“abc”，使用SHA-256算法，计算时应该是“SHA256(‘123456’+’abc’)”，而不是“SHA256(‘123456abc’)”。由于哈希盐的存在，攻击者每一次尝试破解都会重新变化，因此增加了破解难度，从而提高了密码的安全性。

实现步骤

现在，我们来介绍一下如何将MySQL中的密码哈希算法加入随机盐机制，以提高密码的安全性。

1. 安装SHA2加密插件

MySQL的SHA-1算法已经被破解，因此我们需要用SHA-2算法作为密码哈希的算法。首先，我们要先确认版本号是否支持SHA-2，版本号至5.5.6及以上才支持SHA-2哈希算法。我们可以使用以下命令查询版本：

SELECT @@version;

如果MySQL版本不是5.5.6及以上，我们需要先升级或重新安装MySQL。如果版本符合要求，我们需要安装SHA2加密插件。具体步骤可以参考以下操作：

# 停止MySQL服务器
/etc/init.d/mysql stop

# 下载安装插件 curl -LO https://github.com/mysqludf/lib_mysqludf_sha2/releases/download/SHA256-UDFv3/lib_mysqludf_sha256.so
mv lib_mysqludf_sha256.so /usr/lib/mysql/plugin/ chmod 755 /usr/lib/mysql/plugin/lib_mysql_udf_sha256.so

# 配置加密插件
mysql -u root -p
mysql> use mysql;
mysql> CREATE FUNCTION sha256 RETURNS STRING SONAME 'lib_mysqludf_sha256.so';

# 启动MySQL服务器 /etc/init.d/mysql start

这样，SHA2加密插件就安装好了。

2. 添加密码加盐机制

在MySQL中，我们可以通过使用触发器（Trigger）来自动给密码增加随机盐。以下是一个示例代码：

DELIMITER CREATE TRIGGER `add_salt` BEFORE INSERT ON `users`
FOR EACH ROW BEGIN
    DECLARE salt CHAR(50);
    SELECT SHA2(RAND(), 256) INTO salt;
    SET NEW.password = CONCAT(salt,SHA2(CONCAT(salt,NEW.password),256));
END
DELIMITER ;

以上代码中，我们创建了一个名为add_salt的触发器，当我们往users表中插入新数据时触发。每插入一条新数据，该触发器就会生成一个随机盐，并将原密码与盐一起进行哈希处理。

触发器中的SHA2(RAND(), 256)实际上就算出了一个长度为256位的哈希值，其中RAND()函数产生一个0到1之间的随机数。接着，我们再将密码和生成的盐串接起来，再用SHA2算法进行哈希。最后，把二者混合起来作为新的密码进行插入操作。

3. 验证密码

对于数据库中储存的密码，我们在验证时也需要先进行哈希（其中也包括盐），然后再与用户输入的密码进行比对。以下是一个示例代码：

SELECT * FROM `users` WHERE `username` = 'john' AND password = CONCAT(salt,SHA2(CONCAT(salt,'user_input_password'), 256));

上述代码中的salt即触发器中生成的随机盐，user_input_password则是用户在登录时输入的密码。在验证密码时，我们需要先用用户输入的密码与盐混合运算，再跟数据库中保存的哈希值比较。

总结

通过引入哈希盐机制，在MySQL中储存密码的安全性得到了大幅提升。使用SHA2算法，在存储和校验密码时，都需要用到生成的随机盐，以达到更高的密码保护水平。

当然，这只是增强MySQL密码加密的一种方式。除了使用哈希盐，我们还需要注意密码强度、加密算法的安全性等方面，全方位提升密码保护的措施，才能更好地保护数据库安全。