担心系统的 secret key 可能泄露，想要重新更换一个 key，那以前用这个 key 哈希过的用户密码、字符串怎么更新？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

This topic created in 3048 days ago, the information mentioned may be changed or developed.

有一个古老的 secret key 好多轮的版本迭代一直在用，人员进进出出也很多批了，这个盐 key 感觉上应该是在裸奔了，想要更换一个新的 secret key，系统里面现存的用户密码都是根据就的这个 key 生成的，增么换成新的 key 值重新更新下？

key

Secret

密码

更换

7 replies • 2018-01-02 15:09:47 +08:00

wwqgtxx

Jan 2, 2018

在用户登录的时候逐步替换，数据库加一个字段标识一下是新盐还是旧盐

SoloCompany

Jan 2, 2018 via iPhone

salt 不是 secret，你自己弄混了

msg7086

Jan 2, 2018

salt 应该随密码生成…… secret key 一般用在 cookie 这样无关紧要的东西上吧。

miniyao

Jan 2, 2018

@SoloCompany
@msg7086

因为是代码是这样写的😄
password= PasswordHash(salt=os.environ['SECRET_KEY'])

wwqgtxx

Jan 2, 2018

为啥不
from werkzeug.security import check_password_hash, generate_password_hash
呢，然后密码用 generate_password_hash(password, method='pbkdf2:sha512')处理就不用自己考虑盐的问题了

miniyao

Jan 2, 2018

@wwqgtxx 谢谢，新写的都改过方案了，老的历史问题遗留下来的

msg7086

Jan 2, 2018

最好应该是像 1 楼说的，做个原地替换，遇到老密码 hash 用户登录的，自动重写成正确的密码 hash。
salt 也就不用改了，就这么放着好了，这么写的代码本来就已经不可能更新了。