python - werkzeug generate_password_hash，有什么意义吗？

我正在构建一个使用 werkzeug's hashing functions 的 python 应用程序。 User 模型示例:

class User(db.Model):
    __tablename__ = 'users'
    id = db.Column(db.Integer, primary_key=True)
    username = db.Column(db.String(64), unique=True, index=True)
    role_id = db.Column(db.Integer, db.ForeignKey('roles.id'))
    password_hash = db.Column(db.String(128))

    # Custom property getter
    @property
    def password(self):
        raise AttributeError('password is not a readable attribute')

    # Custom property setter
    @password.setter
    def password(self, password):
        self.password_hash = generate_password_hash(password)

    def verify_password(self, password):
        return check_password_hash(self.password_hash, password)

    def __repr__(self):
        return '<User %r>' % self.username

我看到现在 password 以散列形式存储在数据库中，任何看到散列的攻击者都不知道密码是什么而不解密它。但是，对于许多应用程序来说，werkzeug 的散列函数不是一个相当明显的选择吗？攻击者能否仅使用 check_password_hash 函数并解密密码？

最佳答案

本质上 password_hash 使用单向函数来创建不可逆的散列。此外，它还向散列添加信息，例如散列算法、盐值、迭代计数，当然还有散列值，这就是存储的内容。 password_verify 将密码和 password_hash 结果中的附加信息再次创建散列并比较散列值。

此外，重要的是 password_hash 迭代哈希函数以使过程花费更长的时间，一个好的值是 100 毫秒。因此，最好的攻击者可以尝试密码以找到匹配的密码，并且每次尝试都需要花费大量时间。当然，更快的计算系统可以减少约 100 毫秒，但仍然很昂贵。

关于python - werkzeug generate_password_hash，有什么意义吗？，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/43028930/