Bcrypt 哈希生成器 — 安全地哈希密码

Password / text

Cost (rounds):

Share X / Twitter Facebook LinkedIn WhatsApp

如何使用Bcrypt 哈希生成器

输入密码/文本进行哈希计算。
选择成本因素 - 10-12 是安全性和速度的标准平衡。
生成 bcrypt 哈希 - 请注意它包括盐和成本，并且每次都不同。
在生产中，使用框架的 bcrypt 函数 - 切勿使用以下方式存储密码MD5/SHA。

Bcrypt 哈希生成器是什么？

bcrypt 哈希生成器生成 bcrypt 哈希 - 专门用于存储密码的算法。与一般哈希（MD5、SHA-256）不同，bcrypt故意变慢并且自动加盐：每个哈希需要可调的工作量（使得大规模破解成本高昂）并嵌入独特的随机盐（使得预先计算的彩虹表毫无用处）。

这种设计就是重点。快速哈希对于校验和来说是一种优点，但对于密码来说却是一场灾难——GPU 每秒尝试数十亿次 SHA-256 猜测。 Bcrypt 故意放慢速度，将攻击者限制在每秒数千次，将“在几分钟内破解”变成“在几年内破解”。

关于Bcrypt 哈希生成器

输入文本并生成其 bcrypt 哈希值，并具有可选择的成本因子（工作级别）。

开发人员需要的概念：成本因子（循环）- 每个增量都会使工作量加倍； 10-12 是当前标准，平衡安全性与服务器负载，并且可以随着硬件的改进而向上调整，而无需更改代码； 内置盐 - bcrypt 为每个哈希生成并嵌入一个唯一的盐，因此相同的密码每次的哈希值都不同（这就是“密码”的两个哈希不匹配的原因 - 以及彩虹表无济于事的原因）；和验证 - 你永远不会解密 bcrypt 哈希（它是单向的）；你重新哈希登录尝试并让 bcrypt 的比较函数检查它。

bcrypt 适合和不适合的地方：它用于密码存储 - 数据库中的用户帐户密码。它不是为了数据完整性（使用 SHA-256）、API 签名（使用 HMAC）或任何需要速度的东西。每个框架都内置了 bcrypt（PHP 的 password_hash 以及其他地方的等效项）——在生产中使用它们；该生成器用于学习、测试和一次性哈希。现代替代品（Argon2、scrypt）也很强大； bcrypt 仍然是可靠的、普遍支持的默认设置。

常见问题解答

速度——向后。 SHA-256 速度很快，因此攻击者每秒会针对被盗哈希值进行数十亿次猜测。 Bcrypt 故意缓慢且加盐，将攻击者限制在每秒数千次。快速哈希保护数据完整性；慢散列可以保护密码。

嵌入的随机盐 — bcrypt 每次都会生成一个新的盐，因此相同的密码会产生不同的哈希值。这会击败彩虹表并隐藏哪些用户共享密码。验证仍然有效，因为盐存储在哈希值中。

到 2026 年，大多数应用程序将达到 10-12 — 高到足以减缓攻击者的速度，低到足以不延迟登录。如果您的服务器能够承受约半秒的哈希值，则对于高价值系统而言更高（13-14）。随着硬件加速，逐渐提高它。

你不用解密它——bcrypt 是单向的。您将登录尝试和存储的哈希值传递给 bcrypt 的验证函数（PHP 中的 password_verify，Node 中的 bcrypt.compare），该函数使用嵌入的 salt/cost 重新哈希并进行比较。

两人都很强。 Argon2（较新的 PHC 获胜者）可以更好地抵抗 GPU/ASIC 攻击，并且是可用的新系统的首选； bcrypt 仍然非常出色并受到普遍支持。两者都大大击败了快速哈希——灾难在于使用 MD5/SHA 作为密码。