密码加盐（Password Salting） 是计算机安全领域中一种用于保护用户密码的重要技术手段。
简单来说，就是在密码加密的过程中，人为地加入一段随机的“干扰字符串”，使得即使是相同的密码，加密后的结果也会截然不同。
1. 为什么要“加盐”？
在没有“盐”的情况下，系统通常直接对密码进行**哈希（Hash）**运算。
– 哈希的特点：同样的输入，永远得到同样的输出。
– 比如密码是 123456 ，经过 MD5 哈希后是 e10adc3949ba59abbe56e057f20f883e 。
– 黑客的手段：黑客手里有一张巨大的**“彩虹表”**（Rainbow Table），里面记录了数十亿个常见密码及其对应的哈希值。
– 后果：如果数据库泄露，黑客只需把泄露的哈希值和彩虹表对比一下，瞬间就能反查出你的密码是 123456 。
加盐就是为了打破这种“一一对应”的关系。
2. “盐”是什么？
– 定义：“盐”是一段随机生成的字符串（可以是字母、数字或符号）。
– 长度：通常建议至少 16 位或更长。
– 随机性：每个用户的“盐”都应该是不一样的。
3. 加盐的过程
假设：
– 用户密码： 123456
– 系统生成的随机盐： A8f$k2!9
步骤：
1. 拼接：系统将“盐”和“密码”拼接在一起（顺序通常是固定的，比如盐在前）。
– 结果： A8f$k2!9123456
2. 哈希：对拼接后的长字符串进行加密（例如使用 SHA-256 算法）。
– 结果： a0c8d… （这是一个非常长且复杂的乱码）
3. 存储：系统将**“盐”和“加密后的结果”**一起存进数据库。
– 注意：盐不需要保密，是可以明文存储的。
4. 加盐后的效果
场景：
用户 A 和用户 B 的密码都是 123456 。
– 不加盐时：
– A 的哈希值： e10adc39…
– B 的哈希值： e10adc39…
– 黑客一看，两个人密码一样，破解一个就全破解了。
– 加盐后：
– A 的盐是 abc ，加密结果： x9f2k…
– B 的盐是 xyz ，加密结果： m3n7p…
– 黑客看到的是两个完全不同的乱码，无法通过彩虹表直接破解。
5. 登录时怎么验证？
当你下次登录输入密码 123456 时：
1. 系统从数据库里取出你的**“盐”**（ A8f$k2!9 ）。
2. 系统把你输入的密码和盐拼接： A8f$k2!9123456 。
3. 系统进行同样的哈希运算，得到结果 a0c8d… 。
4. 系统把这个结果和数据库里存的结果对比。
– 如果一样，登录成功。
– 如果不一样，密码错误。
6. 常见的误区与最佳实践
1. “盐”不能太短：如果盐只有 1 位（比如 1 ），黑客可以把彩虹表扩展 10 倍（0-9）来尝试，依然能破解。
2. 不能所有人共用一个盐：这叫“固定盐”或“胡椒（Pepper）”。虽然比不加盐好，但如果黑客知道了这个固定盐，所有用户的密码又回到了同一起跑线。每个用户必须有独立的随机盐。
3. 不要只加盐，还要“拉伸”：现代安全标准（如 bcrypt、Argon2、PBKDF2）不仅加盐，还会让哈希算法循环运算成千上万次（Key Stretching）。这样即使黑客有超级计算机，破解一个密码也需要花费数年时间，从而失去了破解的价值。
密码加盐就是给密码穿上了一件独一无二的迷彩服。即使密码本身很简单（如 123456），加上盐之后，在黑客眼中也变成了一串毫无规律的乱码，极大地提高了安全性。
