Как перенести пароли пользователей из с версии на версию с разной солью?

Question

[WebforSelf]

Есть база пользователей где пароли хранимые в базе зашифрованы
Есть соль
private salt="simpla"
На новой версии
private $salt = '8e86a279d6e182b3c811c559e6b15484';

Получается просто перенос не поможет, просто не будут пароли работать .как правильно переносить?

Answer 1

[DevMan]

зачем вам вообще кастомная соль, когда в пыхе уже есть встроенный и вменяемый механизм работы с паролями?

ну а если хотите костылить, то при каждом логине проверяете по старой базе, и если прошло солите и сохраняете в новой. плюс ставите флаг, что этого юзера надо брать с новой базы.

Comments

[WebforSelf]

Это не моя прихоть, соль эта часть CMS,
Получается мне сделать старую таблицу и новую, и потом брать со старой и солить? Не совсем понимаю последовательность

[DevMan]

WebforSelf, последовательность простая:
при логине сверяемся с новой базой. есть юзер - проверяем, нет - лезем в старую и проверяем. проверка прошла -> сохраняем в новую базу.
это для кастома. а для готовой CMS или пилить самому или курить их маны/форумы, штормить супорт на предмет миграции.

[James026]

Можно не с новой базой, и вообще новую не создавать, все оставить как есть, добавить колонку с флагом is_password_recached
При авторизации проверять, если
is_password_recached === 0
Проверяем пароль со старой солью, если ок, хешируем пароль с новой солью и помечаем наш флаг
У тех юзеров, что флаг === 1проверяем пароль новой солью
В дальнейшем можно отследить, если не осталось пользователей со старой солью - дропнуть функционал рехеширования пароля)

[FanatPHP]

James026, зачем отдельная колонка вообще?
проверяем пароль со старой солью, если подошел - перехэшируем на новую

[Lander]

WebforSelf,

Это не моя прихоть, соль эта часть CMS,

И эта соль у каждого хеша одна и та же? Тогда польза от такой соли, почти нулевая.

[James026]

FanatPHP, А как ты узнаешь остались ли юзеры со старым хешем или нет?
Имхо куда лучше иметь эту возможность чтобы потом выпилить из проекта временный функционал, который в будущем и не нужен.
А если и осталось пару десяток пользователей со временем, ими можно пренебречь, восстановят пароль через форму)

[FanatPHP]

James026, ну во-первых, я и так знаю, что остались. в любом проекте всегда больше мертвых душ, чем живых пользователей.
а во-вторых, ты сам же решение и предложил - через, скажем, пол-годика, просто убрать старую соль :)

[James026]

FanatPHP, да тут на самом деле личные предпочтения)
Мне так комфортней - контролировать, и иметь выбор потом, убрать старую соль, или сделать рассылку по мертвым душам))