bcrypt 用于 Go：密码哈希完整指南

\n\n

用户数据安全是现代 Web 开发的关键任务之一。以明文形式存储密码是不可接受的，而通过 MD5 或 SHA-1 进行简单哈希早已被认为不安全，因为它们容易受到暴力攻击。Go 语言的 bcrypt 库提供了一种可靠且经过时间考验的自适应密码哈希算法，既能抵御字典攻击，也能抵御彩虹表攻击。

\n\n

bcrypt 算法由 Niels Provos 和 David Mazières 于 1999 年基于 Blowfish 密码开发。其关键特性是 自适应复杂度：您可以增加哈希迭代次数，随着计算能力的提升，使密码暴力破解的成本越来越高。在 Go 生态系统中，标准库 golang.org/x/crypto/bcrypt 是官方扩展，并由 Go 开发团队维护。

\n\n

在本文中，我们将详细讨论在 Go 中使用 bcrypt 的所有方面：从安装和基本使用到高级技术和常见错误。您将学习如何正确哈希密码、将密码与哈希值进行比较、选择最佳成本 (cost) 以及将 bcrypt 集成到实际应用程序中。

\n\n

安装

\n\n

Go 的 bcrypt 库不包含在标准库中，但它是官方子模块 x/crypto 的一部分。安装只需一条命令：

\n\n

go get golang.org/x/crypto/bcrypt

\n\n

执行此命令后，您的 go.mod 文件中将出现该依赖项，您就可以在代码中导入该包：

\n\n

import "golang.org/x/crypto/bcrypt"

\n\n

请确保您安装了 Go 1.13 或更高版本（建议使用 1.21+）。如果您使用模块（在 2024 年这是标准做法），依赖项将自动拉取。

\n\n

快速入门：最小工作示例

\n\n

让我们从一个最简单的示例开始：密码哈希及其验证。这是您在任何项目中都会用到的基础。

\n\n

package main\n\nimport (\n    "fmt"\n    "log"\n    "golang.org/x/crypto/bcrypt"\n)\n\nfunc main() {\n    // 用户原始密码\n    password := []byte("mySecretPassword123!")\n\n    // 使用默认成本 (10) 哈希密码\n    hashedPassword, err := bcrypt.GenerateFromPassword(password, bcrypt.DefaultCost)\n    if err != nil {\n        log.Fatal(err)\n    }\n\n    fmt.Printf("密码哈希值: %s\\n", hashedPassword)\n\n    // 验证正确密码\n    err = bcrypt.CompareHashAndPassword(hashedPassword, password)\n    if err != nil {\n        fmt.Println("密码不匹配！")\n    } else {\n        fmt.Println("✓ 密码匹配！")\n    }\n\n    // 验证错误密码\n    wrongPassword := []byte("wrongPassword")\n    err = bcrypt.CompareHashAndPassword(hashedPassword, wrongPassword)\n    if err != nil {\n        fmt.Println("✗ 密码不匹配（符合预期）")\n    }\n}

\n\n

这段代码做了三件事：生成哈希值、验证正确密码、并确保错误密码被拒绝。请注意：GenerateFromPassword 会自动生成随机盐并将其嵌入哈希值中，因此每次对同一密码都会得到不同的哈希值。

\n\n