هش و تأیید bcrypt

درباره‌ی bcrypt

bcrypt یک تابع هش رمز عبور است که به‌عمد کند طراحی شده تا در برابر حملات brute-force مقاوم باشد. شامل یک salt تصادفی و یک ضریب هزینه‌ی قابل تنظیم است.

چه زمانی از bcrypt استفاده کنیم

• هش کردن رمزهای عبور کاربران قبل از ذخیره در پایگاه داده.
• تأیید تلاش ورود در برابر هش bcrypt ذخیره‌شده.

ضریب هزینه

ضریب هزینه توانی از ۲ است. هر افزایش، زمان محاسبه‌ی هش را دو برابر می‌کند. مقادیر رایج:

• ۱۰ — سریع، مناسب اکثر سایت‌ها.
• ۱۲ — توصیه‌شده امروز.
• ۱۴+ — بسیار کند، فقط اگر سرور شما توانش را دارد.

نکته: bcrypt فقط از ۷۲ بایت اول رمز عبور استفاده می‌کند. رمزهای طولانی‌تر بی‌صدا بریده می‌شوند.