bcryptjs詳解

一、什麼是bcryptjs

bcryptjs是一個用於密碼哈希的JS庫，可以將密碼的加密處理迭代多次、以飽和度(salt)作為參考加密等級，安全性更高，且處理速度較快。

bcryptjs是 JavaScript 語言版本的實現，採用 CommonJS 規範，可以直接用於 Node.js 的應用程序中，也可以轉化為其他版本的 JavaScript 語言使用。

下面是一個基於bcryptjs的加密示例:

const bcrypt = require('bcryptjs');
const saltRounds = 10;
const myPlaintextPassword = 'myPassword';

bcrypt.genSalt(saltRounds, function(err, salt) {
    bcrypt.hash(myPlaintextPassword, salt, function(err, hash) {
        // Store hash in your password DB.
    });
});

上面的例子中，”myPassword” 是原始密碼，通過調用 bcrypt.hash 方法進行加密，bcrypt.genSalt 方法提供了一個飽和度，這個飽和度作為第二個參數傳遞到 hash 方法以增加加密強度。

二、bcryptjs的安全性

bcryptjs 的安全性來自於它的加密方式：salted hashing。

一般的哈希函數是單向的，這種函數的輸出無法確定輸入，這就是為什麼密碼哈希適合的原因。在存儲密碼時，哈希函數會對原密碼進行加密處理。

然而，這種方式並不安全，因為使用相同的算法和加密方式，相同的原始密碼會得到相同的加密密文。這時，黑客可以通過破解密文得到原始文本，並將其與其他帳戶中存儲的哈希值進行比較，從而得到其他帳戶的訪問權限。

bcryptjs 的加密過程中加入了一些隨機字符串，稱之為鹽(salt)。由於這些鹽值是隨機生成的，每個用戶的鹽值都不同，即使兩個用戶使用相同的密碼，它們的哈希值也是不同的。 攻擊者無法使用一個已知的哈希來推斷原始密碼，即使他們擁有其他用戶的哈希。

三、bcryptjs使用的注意事項

1. bcryptjs 的密碼操作是同步的，這意味着它會阻塞 Node.js 的事件循環。

2. 默認情況下，bcryptjs 會使用 10 個哈希輪次。這個數字越大，安全性越高，但操作越慢。如果環境要求更強的安全性，可以增加哈希輪次。

下面的代碼示例將密碼的哈希輪次增加到 12:

bcrypt.hash(myPlaintextPassword, 12, function(err, hash) {
    // Store hash in your password DB.
});

3. 當使用 bcrypt.hash() 方法時，應該確保原始密碼的長度不超過72個字符，否則加密結果可能出現不可預測的行為。

4. 當使用 bcrypt.compare() 方法時，它會自動從存儲在哈希中的值中提取出鹽。因此，只需要從數據庫中獲取哈希並將它與明文密碼進行比較即可。bcrypt.compare()方法返回一個Boolean值，用於指示密碼是否匹配。

下面的代碼示例是一個比較函數:

bcrypt.compare(myPlaintextPassword, hash, function(err, result) {
    // result == true
});

四、結語

bcryptjs 的安全性以及加密方式是密碼哈希中的佼佼者。 使用 bcryptjs 可以使密碼的處理變得更安全，更高效。 通過對 bcryptjs 的學習，我們可以更好地理解密碼哈希的價值、工作原理以及使用它為何是安全的。