Ruby BCrypt 哈希比较

我正在尝试使用 Sinatra 和 BCrypt 实现看似非常简单的身份验证方法，但显然我错过了一些东西......

用户预先分配了一个临时密码，该密码以明文形式存储在数据库中。

我根据临时密码进行身份验证，然后创建 salt 和 password_hash 并将它们作为字符串写入数据库（在本例中为 mongo）。

为了进行身份验证，我从数据库中获取盐和用户密码进行比较。

post "/password_reset" do
  user = User.first(:email => params[:email], :temp_password => params[:temp_password])
  if dealer != nil then
  password_salt = BCrypt::Engine.generate_salt
  password_hash = BCrypt::Engine.hash_secret(params[:password], password_salt)
  user.set(:password_hash => password_hash)
  user.set(:password_salt => password_salt)
  end
end

post "/auth" do
  @user = User.first(:email => params[:email])
  @user_hash = BCrypt::Password.new(@user.password_hash) #because the password_hash is  stored in the db as a string, I cast it as a BCrypt::Password for comparison
  if @user_hash == BCrypt::Engine.hash_secret(params[:password], @user.password_salt.to_s)   then
    auth = true
  else
    auth = false
  end
end

BCrypt::Engine.hash_secret(params[:password],password_salt) 返回的值与数据库中存储的值不同（两者都是 BCrypt::Password 类，但它们不匹配）。

我在这里缺少什么？非常感谢您的任何见解！

Marc

BCrypt::Password是一个子类String，和它覆盖== method https://github.com/codahale/bcrypt-ruby/blob/v3.0.1/lib/bcrypt.rb#L175-178使检查密码更加容易。当你这样做时

if @user_hash == BCrypt::Engine.hash_secret(params[:password], @user.password_salt.to_s)

你最终执行了哈希twice，所以它们不匹配。如果直接与@user.password_hash而不是使用BCrypt::Password.new你应该看到它们匹配。

使用 bcrypt-ruby 作为密码的更“正确”方法是不使用Engine根本没有类，只是Password班级。您不需要自己管理盐，bcrypt 会处理这个问题并将其包含在密码哈希字符串中：

password_salt = BCrypt::Engine.generate_salt
password_hash = BCrypt::Engine.hash_secret("s3kr1t!", password_salt)

puts password_salt
puts password_hash

产生这样的东西：

$2a$10$4H0VpZjyQO9SoAGdfEB5j.
$2a$10$4H0VpZjyQO9SoAGdfEB5j.oanIOc4zp3jsdTra02SkdmhAVpGK8Z6

如果运行它，您会得到稍微不同的结果，因为会生成不同的盐，但您可以看到密码哈希包含盐。

就你而言，你想要这样的东西：

post "/password_reset" do
  user = User.first(:email => params[:email], :temp_password => params[:temp_password])
  if dealer != nil then
    password_hash = BCrypt::Password.create(params[:password])
    user.set(:password_hash => password_hash) # no need to store the salt separately in the database
  end
end

post "/auth" do
  @user = User.first(:email => params[:email])
  @user_hash = BCrypt::Password.new(@user.password_hash)
  if @user_hash == params[:password]  then # overridden == method performs hashing for us
    auth = true
  else
    auth = false
  end
end