我正在尝试使用Sinatra和BCrypt实现一个非常简单的身份验证方法,但显然我错过了一些…
我对临时密码进行身份验证,然后创建salt和password_hash,并将其作为字符串写入db(在这种情况下为mongo).
post "/password_reset" do user = User.first(:email => params[:email],:temp_password => params[:temp_password]) if dealer != nil then password_salt = BCrypt::Engine.generate_salt password_hash = BCrypt::Engine.hash_secret(params[:password],password_salt) user.set(:password_hash => password_hash) user.set(:password_salt => password_salt) end end post "/auth" do @user = User.first(:email => params[:email]) @user_hash = BCrypt::Password.new(@user.password_hash) #because the password_hash is stored in the db as a string,I cast it as a BCrypt::Password for comparison if @user_hash == BCrypt::Engine.hash_secret(params[:password],@user.password_salt.to_s) then auth = true else auth = false end end
BCrypt :: Engine.hash_secret(params [:password],password_salt)返回的值与db中存储的值不同(都是BCrypt :: Password类,但不匹配).
我在这里缺少什么?非常感谢任何见解!
渣子
解决方法
BCrypt :: Password是String的一个子类,它使
overrides the
==
method使检查密码更容易.当你做的
if @user_hash == BCrypt::Engine.hash_secret(params[:password],@user.password_salt.to_s)
你最后两次执行哈希,所以他们不匹配.如果直接与@ user.password_hash进行比较,而不是使用BCrypt :: Password.new,则应该会看到它们匹配.
使用bcrypt-ruby作为密码的“正确”方式是根本不使用Engine类,只是使用Password类.你不需要自己管理盐,bcrypt会照顾它,并将其包含在密码哈希字符串中:
password_salt = BCrypt::Engine.generate_salt password_hash = BCrypt::Engine.hash_secret("s3kr1t!",password_salt) puts password_salt puts password_hash
产生这样的东西:
$2a$10$4H0VpZjyQO9SoAGdfEB5j. $2a$10$4H0VpZjyQO9SoAGdfEB5j.oanIOc4zp3jsdTra02SkdmhAVpGK8Z6
如果运行它,会产生稍微不同的东西,因为会生成不同的盐,但是您可以看到密码哈希包含盐.
在你的情况下,你想要这样的东西:
post "/password_reset" do user = User.first(:email => params[:email],:temp_password => params[:temp_password]) if dealer != nil then password_hash = BCrypt::Password.create(params[:password]) user.set(:password_hash => password_hash) # no need to store the salt separately in the database end end post "/auth" do @user = User.first(:email => params[:email]) @user_hash = BCrypt::Password.new(@user.password_hash) if @user_hash == params[:password] then # overridden == method performs hashing for us auth = true else auth = false end end
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。