phpass和hash_hmac有什么區別？

Question

我正在嘗試將密碼存儲在cookie中。 Stackoverflow似乎推薦hash_hmac但wordpress使用phpass？

從安全角度看應該使用哪些區別？

Answer 1

這是一個非常糟糕的主意。 您應該使用session_start() ，它會為您完成所有操作，然后您可以使用$_SESSION來存儲有關該用戶的信息。 如果您在數據庫中存儲密碼哈希並將其用作cookie，那么您完全破壞了哈希密碼的目的。 攻擊者可以使用sql注入來獲取哈希，然后只需登錄而不必破解哈希。

幾年前Wordpress很容易受到攻擊。 該代碼庫存在一些非常嚴重的安全問題。