Java – 生成随机盐不是随机的
我正在尝试在Java中生成一个salt，以便使用散列算法进行安全密码存储。 我正在使用以下代码创建随机盐：
private static String getSalt() throws NoSuchAlgorithmException { SecureRandom sr = SecureRandom.getInstance("SHA1PRNG"); byte[] salt = new byte[16]; sr.nextBytes(salt); System.out.println(salt.toString()); return salt.toString(); } 这应该生成一个完全安全的，随机生成的盐，用于我的散列算法。 然而，当我运行代码时，它每次都会输出相同的盐…表明生成的盐根本不是随机的。
出于明显的安全目的，每个用户都需要一个独特的盐，但是如果我每次创建一个新帐户时都使用这个代码，那么每个用户将拥有相同的盐，从而无法首先使用它。
我的问题是：为什么这会一直给我相同的盐，我该怎么做才能确保每次运行代码时生成的盐都是完全随机的？
编辑：
以为我会包含整个哈希程序的源代码，现在已经修复并正常工作。 这是一个简单的原型，用于模拟在创建帐户时生成哈希值，然后在登录系统时检查密码。
package hashingwstest; import java.security.MessageDigest; import java.security.NoSuchAlgorithmException; import java.security.SecureRandom; import java.util.Random; import java.util.Scanner; public class HashingWSTest { public static void main(String[] args) throws NoSuchAlgorithmException { Scanner sc = new Scanner(System.in); System.out.print("Enter Password: "); String passwordToHash = sc.nextLine(); byte[] bytes = getBytes(); String salt = new String(bytes); String securePassword = hash256(passwordToHash, salt); System.out.println("Hash successfully generated"); System.out.print("Enter your password again: "); String checkPassword = sc.nextLine(); String checkHash = hash256(checkPassword,salt); if (checkHash.equals(securePassword)) { System.out.println("MATCH"); } else { System.out.println("NO MATCH"); } } private static String hash256(String passwordToHash, String salt) { String generatedPassword = null; try { MessageDigest md = MessageDigest.getInstance("SHA-256"); md.update(salt.getBytes()); byte[] bytes = md.digest(passwordToHash.getBytes()); StringBuilder sb = new StringBuilder(); for (int i=0; i<bytes.length; i++) { sb.append(Integer.toString((bytes[i] & 0xff) + 0x100, 16).substring(1)); } generatedPassword = sb.toString(); } catch (NoSuchAlgorithmException e) { e.printStackTrace(); } return generatedPassword; } private static byte[] getBytes() throws NoSuchAlgorithmException { SecureRandom sr = SecureRandom.getInstance("SHA1PRNG"); byte[] bytes = new byte[16]; sr.nextBytes(bytes); return bytes; } }
您正在打印字节数组本身，而不是其内容。 您需要遍历数组以查看它包含的内容。
编辑：
还更改了getSalt以返回一个字节数组。 返回从字节数组构造的String（使用新的String（salt））是不安全的，因为字节序列可能不会形成有效的String。
import java.security.*; public class Salt { public static void main(String[] args) throws NoSuchAlgorithmException { getSalt(); } private static byte[] getSalt() throws NoSuchAlgorithmException { SecureRandom sr = SecureRandom.getInstance("SHA1PRNG"); byte[] salt = new byte[16]; sr.nextBytes(salt); for(int i = 0; i<16; i++) { System.out.print(salt[i] & 0x00FF); System.out.print(" "); } return salt; } }
salt.toString不返回字节数组的内容，而是返回hashCode
如果在每个请求中替换为sr.nextInt() ，您将收到不同的值。 如果您打印字节数组的内容，您会发现差异
从java.security.SecureRandom.getInstance(String)的javadoc：
返回的SecureRandom对象尚未播种。 要为返回的对象设定种子，请调用setSeed方法。
所以明显的答案是调用setSeed 。 然而，这可能会在使用时间时出现问题，因为种子很容易被猜到。
另一种方法是共享安全随机实例（因为它是线程安全的 ）
你可以使用方法
/** * Reseeds this random object, using the eight bytes contained * in the givenlong seed. The given seed supplements, * rather than replaces, the existing seed. Thus, repeated calls * are guaranteed never to reduce randomness. * *This method is defined for compatibility with *
java.util.Random. * * @param seed the seed. * * @see #getSeed */ public void setSeed(long seed)
通过例如当前时间