为Grails / Spring Security REST用户手动计算bcrypt“哈希”（并保存在db中）

Question

我需要在数据库中批量设置数百个密码。 虽然我意识到我可以编写某种服务来通过Grails，但是要求我严格使用SQL进行更新。

我的意思不是说我需要使用一些数据库内置的crypto（）或password（）函数，我只是说user.password字段的覆盖应该是SQL可编写脚本的。 并且出于安全性/日志记录的原因，我宁愿不在数据库内进行哈希处理。

只要能够轻松实现自动化，哈希的生成方式就广为开放-越简单越好。 （是的，加密主义者，我认识到bcrypt的输出不是真正的哈希。）我尝试了几件事，一个可行，但时间限制，而另一个却“不起作用”（Grails在身份验证期间拒绝密码） ：

1. 在http://bcrypthashgenerator.apphb.com/上有一个在线生成工具。 如果我去这里输入一个字符串，然后将该输出另存为数据库中的用户密码字段，则一切正常。 但是，他们具有防止自动通话的内置保护，我愿意尊重他们的意愿，而不是四处走动。

2. PHP内置了一个password_hash函数，该函数支持bcrypt。 我尝试使用此调用的输出，但是Grails不喜欢它（即，它告诉我密码无效）： echo password_hash('test', PASSWORD_BCRYPT) 。 如果我能以某种方式使它工作，那么很容易就可以反复尝试并收集我的输出。

优先选择i）找到可行的方法，但是ii）想知道为什么选项＃2不起作用，而选项＃1起作用。

Answer 1

PHP的5.3.7之后的password_hash（）使用$2y$前缀，而该站点（可能还有您的安装）使用$2a$ 。

$ 2a $-用于标识此方案的当前密钥。 自2011年在该算法的第三方实现中发现一个重大的安全漏洞以来，此字符串指示的[12]哈希值现在是不明确的，并且可能是有缺陷的实现或后续的固定实现所产生的。 该漏洞可能由某些包含非ASCII字符的密码字符串触发，例如特制的密码字符串。

$ 2y $-2011年后的错误发现，$ 2y $可用于明确使用经过纠正的新算法。 在遭受错误的实现中，$ 2y $根本不起作用。 在更新的固定实现中，它将产生与使用$ 2a $相同的结果。

因此，看来您的Grails安装使用的是易受攻击的bcrypt版本。 如果对其进行了修补，则PHP编码的$2y$版本将（应该？）工作。