算法介紹

Python的hashlib提供了常見的摘要算法，如MD5，SHA1等等。

什么是摘要算法呢？摘要算法又稱哈希算法、散列算法。它通過一個(gè)函數(shù)，把任意長度的數(shù)據(jù)轉(zhuǎn)換為一個(gè)長度固定的數(shù)據(jù)串（通常用16進(jìn)制的字符串表示）。

摘要算法就是通過摘要函數(shù)f()對任意長度的數(shù)據(jù)data計(jì)算出固定長度的摘要digest，目的是為了發(fā)現(xiàn)原始數(shù)據(jù)是否被人篡改過。

摘要算法之所以能指出數(shù)據(jù)是否被篡改過，就是因?yàn)檎瘮?shù)是一個(gè)單向函數(shù)，計(jì)算f(data)很容易，但通過digest反推data卻非常困難。而且，對原始數(shù)據(jù)做一個(gè)bit的修改，都會(huì)導(dǎo)致計(jì)算出的摘要完全不同。

我們以常見的摘要算法MD5為例，計(jì)算出一個(gè)字符串的MD5值：

復(fù)制代碼
import hashlib

md5 = hashlib.md5()
md5.update('how to use md5 in python hashlib?')
print md5.hexdigest()

計(jì)算結(jié)果如下：
d26a53750bc40b38b65a520292f69306
復(fù)制代碼
如果數(shù)據(jù)量很大，可以分塊多次調(diào)用update()，最后計(jì)算的結(jié)果是一樣的：

md5 = hashlib.md5()
md5.update('how to use md5 in ')
md5.update('python hashlib?')
print md5.hexdigest()
MD5是最常見的摘要算法，速度很快，生成結(jié)果是固定的128 bit字節(jié)，通常用一個(gè)32位的16進(jìn)制字符串表示。另一種常見的摘要算法是SHA1，調(diào)用SHA1和調(diào)用MD5完全類似：

import hashlib

sha1 = hashlib.sha1()
sha1.update('how to use sha1 in ')
sha1.update('python hashlib?')
print sha1.hexdigest()
SHA1的結(jié)果是160 bit字節(jié)，通常用一個(gè)40位的16進(jìn)制字符串表示。比SHA1更安全的算法是SHA256和SHA512，不過越安全的算法越慢，而且摘要長度更長。

摘要算法應(yīng)用

任何允許用戶登錄的網(wǎng)站都會(huì)存儲(chǔ)用戶登錄的用戶名和口令。如何存儲(chǔ)用戶名和口令呢？方法是存到數(shù)據(jù)庫表中：

namepassword

michael	123456
bob	abc999
alice	alice2008

如果以明文保存用戶口令，如果數(shù)據(jù)庫泄露，所有用戶的口令就落入黑客的手里。此外，網(wǎng)站運(yùn)維人員是可以訪問數(shù)據(jù)庫的，也就是能獲取到所有用戶的口令。正確的保存口令的方式是不存儲(chǔ)用戶的明文口令，而是存儲(chǔ)用戶口令的摘要，比如MD5：

usernamepassword

michael	e10adc3949ba59abbe56e057f20f883e
bob	878ef96e86145580c38c87f0410ad153
alice	99b1c2188db85afee403b1536010c2c9

考慮這么個(gè)情況，很多用戶喜歡用123456，888888，password這些簡單的口令，于是，黑客可以事先計(jì)算出這些常用口令的MD5值，得到一個(gè)反推表：

'e10adc3949ba59abbe56e057f20f883e': '123456'
'21218cca77804d2ba1922c33e0151105': '888888'
'5f4dcc3b5aa765d61d8327deb882cf99': 'password'
這樣，無需破解，只需要對比數(shù)據(jù)庫的MD5，黑客就獲得了使用常用口令的用戶賬號。

對于用戶來講，當(dāng)然不要使用過于簡單的口令。但是，我們能否在程序設(shè)計(jì)上對簡單口令加強(qiáng)保護(hù)呢？

由于常用口令的MD5值很容易被計(jì)算出來，所以，要確保存儲(chǔ)的用戶口令不是那些已經(jīng)被計(jì)算出來的常用口令的MD5，這一方法通過對原始口令加一個(gè)復(fù)雜字符串來實(shí)現(xiàn)，俗稱“加鹽”：

hashlib.md5("salt".encode("utf8"))
經(jīng)過Salt處理的MD5口令，只要Salt不被黑客知道，即使用戶輸入簡單口令，也很難通過MD5反推明文口令。

但是如果有兩個(gè)用戶都使用了相同的簡單口令比如123456，在數(shù)據(jù)庫中，將存儲(chǔ)兩條相同的MD5值，這說明這兩個(gè)用戶的口令是一樣的。有沒有辦法讓使用相同口令的用戶存儲(chǔ)不同的MD5呢？

如果假定用戶無法修改登錄名，就可以通過把登錄名作為Salt的一部分來計(jì)算MD5，從而實(shí)現(xiàn)相同口令的用戶也存儲(chǔ)不同的MD5。

摘要算法在很多地方都有廣泛的應(yīng)用。要注意摘要算法不是加密算法，不能用于加密（因?yàn)闊o法通過摘要反推明文），只能用于防篡改，但是它的單向計(jì)算特性決定了可以在不存儲(chǔ)明文口令的情況下驗(yàn)證用戶口令。。

轉(zhuǎn)載于:https://www.cnblogs.com/rendawei/p/7061971.html

總結(jié)

以上是生活随笔為你收集整理的Python模块之hashlib：提供hash算法的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。