Почему после сброса хэширование отличается?

Question

Я создал аккуратную систему для подсчета и хэширования паролей пользователей, отправки им электронного письма с просьбой сбросить их, если они их забудут.

Я могу хешировать $_POST на лету и засолить его уникальной солью пользователя, хранящейся в их строке, сопоставить ее с сохраненным хешированным паролем и войти в систему. обратно, введенный ими $ _POST не соответствует сохраненному pw. Это точно такой же процесс.

Есть идеи, почему это может быть?

Вот соответствующая часть сценария:

$query =  "SELECT `encrypted_password`,`salt` FROM `Users` WHERE `Email` = '" . stripslashes(mysql_real_escape_string($_POST['email'])) . "'";
    $request = mysql_query($query,$connection) or die(mysql_error());
    $result = mysql_fetch_array($request);


    $salty_password = sha1($result['salt'] . stripslashes(mysql_real_escape_string($_POST['password'])));

    // SEE HOW THEY COMPARE
    echo "Users real salted pass: " . $result['encrypted_password'] . " / Salty Password to check: " . $salty_password . "<br />";

    $query2 = "SELECT * FROM `Users` WHERE `Email` = '". stripslashes(mysql_real_escape_string($_POST['email'])."' AND `encrypted_password` = '$salty_password'";
    $request2 = mysql_query($query2,$connection) or die(mysql_error());
    $result = mysql_fetch_array($request2);

- редактировать ---

это может помочь увидеть, как сбрасывается пароль?

$query = "SELECT * FROM `Password_Reset` ORDER BY `id` DESC LIMIT 1";
$request = mysql_query($query,$connection) or die(mysql_error());
$result = mysql_fetch_array($request);

$token = $result['token'];

$alpha = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcedfghijklmnopqrstuvwxyz1234567890";
$rand = str_shuffle($alpha);
$salt = substr($rand,0,40);
$hashed_password = sha1($salt . stripslashes(mysql_real_escape_string($_POST['Password'])));
$user_email = $result['email'];

    if(isset($_POST['sub_settings'])){


        if(empty($_POST['Password'])) {
            $valid = false;
            $error_msgs[] = 'Whoops! You must enter a password.';
        }

        if($_POST['Password'] != $_POST['passwordConfirm'] || empty($_POST['Password'])) {
            $valid = false;
            $error_msgs[] = "Your password entries didn't match...was there a typo?";
        }

        if($valid) {
            $query = "UPDATE `Users` SET `encrypted_password` = '$hashed_password' WHERE `Email` = '$user_email'";

            mysql_query($query,$connection);

Answer 1

Похоже, вы генерируете случайную новую соль при сбросе пароля, но не сохраняете его в базе данных.Затем для проверки пароля используется предыдущая соль.

---

Кроме того, нет необходимости очищать пароль перед его вводом в sha1.Фактически, использование stripslashes и mysql_real_escape_string может привести к проблемам, поскольку обе функции могут преобразовывать пароль по-разному в зависимости от версии и конфигурации PHP, давая разный хэш.