为什么哈希这么慢？

Question

我正在开发一个 Web 应用程序。为了对密码进行哈希处理，我使用了以下逻辑package coreimport (    "math/rand"    "golang.org/x/crypto/bcrypt")type User struct {    Username string `json:"username"`    Password string `json:"password"`}type Hasher interface {    HashPassword()}func (u *User) HashPassword() {    cost := rand.Intn(28) + 4    //TODO: Handle error    hashedPassword, _ := bcrypt.GenerateFromPassword([]byte(u.Password), cost)    u.Password = string(hashedPassword)}然后在处理请求时func HandleRegister(w http.ResponseWriter, r *http.Request) {    var user core.User    var hasher core.Hasher    hasher = &user    //TODO: Handle error    _ = json.NewDecoder(r.Body).Decode(&user)    hasher.HashPassword()    fmt.Println(user)}出于安全原因，我使用随机成本进行散列。问题是当成本变大时，过程真的很慢。我Postman用来向我的服务器发送请求，但它真的很慢。为什么呢？我的实施错了吗？注意：在我的 SQLite 数据库中，我选择TEXT密码列的类型来存储散列密码。使用BLOBtype 而不是会更好TEXT吗？

Answer 1

您的最大成本是 32。这意味着 2^32 轮密钥扩展。即使是一个简单的循环，只遍历 1 到 2^32 之间的每个数字而不做任何事情，也需要几秒钟。您需要将成本限制在一个更合理的数字。

此外，您的最低成本 4 太小了。那只是16轮。它会使破解密码的方式比它应该的更容易。

为什么你甚至使用随机数？阅读本文以更好地选择成本。