密码恢复而不保存用户电子邮件

Question

嘿，那里。 我正在开发一个网站，我想为丢失密码的用户设置密码恢复系统，但我不想保存用户电子邮件地址或任何私人数据。 我想保存电子邮件地址的哈希，但如果数据库被泄露，可以检查是否已注册电子邮件地址以及它属于哪个帐户。 你有什么想法吗？

Answer 1

为了防止数据库被泄露并提取哈希值，只需在兑现之前将一些随机（但常量字符串）添加到所有电子邮件地址。例如。在散列之前添加“BLABLABLA”以将“joe@example.com”变为“joe@example.comBLABLABLA”。它仍然不完美，但现在攻击者需要您的数据库，您的应用程序代码，对其进行反向工程，并且知道这是他首先需要做的事情（数据库中没有提示您的应用程序之前修改了电子邮件地址散列）。