面试官:为什么忘记密码要重置而不是告诉你原密码?

这是一个挺有意思的面试题,挺简单的,不知道大家平时在重置密码的时候有没有想过这个问题。回答这个问题其实就一句话:因为服务端也不知道你的原密码是什么。如果知道的话,那就是严重的安全风险问题了。

我们这里来简单分析一下。

做过开发的应该都知道,服务端在保存密码到数据库的时候,绝对不能直接明文存储。如果明文存储的话,风险太大,且不说数据库的数据有被盗的风险,如果被服务端的相关人员特别是有数据库权限的恶意利用,那将是不可预估的风险。

一般情况下,我们都是通过哈希算法来加密密码并保存。

哈希算法也叫散列函数或摘要算法,它的作用是对任意长度的数据生成一个固定长度的唯一标识,也叫哈希值、散列值或消息摘要(后文统称为哈希值)。

哈希算法可以简单分为两类:

  1. 加密哈希算法:安全性较高的哈希算法,它可以提供一定的数据完整性保护和数据防篡改能力,能够抵御一定的攻击手段,安全性相对较高,但性能较差,适用于对安全性要求较高的场景。例如 SHA2、SHA3、SM3、RIPEMD-160、BLAKE2、SipHash 等等。
  2. 非加密哈希算法:安全性相对较低的哈希算法,易受到暴力破解、冲突攻击等攻击手段的影响,但性能较高,适用于对安全性没有要求的业务场景。例如 CRC32、MurMurHash3、SipHash 等等。

除了这两种之外,还有一些特殊的哈希算法,例如安全性更高的慢哈希算法

关于哈希算法的详细介绍,可以看我写的这篇文章:哈希算法和加密算法总结

目前,比较常用的是通过 MD5 + Salt 的方式来加密密码。盐(Salt)在密码学中,是指通过在密码任意固定位置插入特定的字符串,让哈希后的结果和使用原始密码的哈希结果不相符,这种过程称之为"加盐"。

不过,这种方式已经不被推荐,因为 MD5 算法的安全性较低,抗碰撞性差。详细介绍可以阅读我写的这篇文章:简历别再写 MD5 加密密码了! 。你可以使用安全性较高的加密哈希算法+ Salt(盐) (例如 SHA2、SHA3、SM3,更高的安全性更强的抗碰撞性)或者直接使用慢哈希(例如 Bcrypt,更推荐这种方式)。

假如我们这里使用 SHA-256 + Salt 这种方式。

这里写了一个简单的示例代码:

java 复制代码
String password = "123456";
String salt = "1abd1c";
// 创建SHA-256摘要对象
MessageDigest messageDigest = MessageDigest.getInstance("SHA-256");
messageDigest.update((password + salt).getBytes());
// 计算哈希值
byte[] result = messageDigest.digest();
// 将哈希值转换为十六进制字符串
String hexString = new HexBinaryAdapter().marshal(result);
System.out.println("Original String: " + password);
System.out.println("SHA-256 Hash: " + hexString.toLowerCase());

输出:

yaml 复制代码
Original String: 123456
SHA-256 Hash: 424026bb6e21ba5cda976caed81d15a3be7b1b2accabb79878758289df98cbec

在这个例子中,服务端保存的就是密码"123456"加盐哈希之后的数据,也就是"424026bb6e21ba5cda976caed81d15a3be7b1b2accabb79878758289df98cbec" 。

当你输入密码登录之后,服务端会先把你的密码对应的盐取出,然后再去执行一遍获取哈希值的过程。如果最终计算出来的哈希值和保存在数据库中的哈希值一直,那就说明密码是正确的。否则的话,密码就不是正确的。

哈希算法的是不可逆的,你无法通过哈希之后的值再得到原值,这样的话,服务端也不知道你的原密码到底是什么,自然没办法告诉你原密码是什么。

相关推荐
Livingbody7 分钟前
【ERNIEKit】基于ERNIE4.5-0.3B大模型微调的心理咨询师大模型全流程
后端
CRUD被占用了23 分钟前
coze-studio学习笔记(二)
后端
长安不见44 分钟前
图与循环依赖、死锁(一) 为何我的循环依赖时好时坏?
后端
codervibe1 小时前
Spring Boot 项目中泛型统一响应封装的设计与实现
后端
阿华的代码王国1 小时前
【Android】日期选择器
android·xml·java·前端·后端
hqxstudying1 小时前
SpringBoot相关注解
java·spring boot·后端
Livingbody3 小时前
ubuntu25.04完美安装typora免费版教程
后端
阿华的代码王国3 小时前
【Android】RecyclerView实现新闻列表布局(1)适配器使用相关问题
android·xml·java·前端·后端
码农BookSea3 小时前
自研 DSL 神器:万字拆解 ANTLR 4 核心原理与高级应用
java·后端
lovebugs3 小时前
Java并发编程:深入理解volatile与指令重排
java·后端·面试