使用bcrypt加密密码是Golang中安全存储用户凭证的推荐方式，它自动加盐并支持可调强度的哈希计算。通过bcrypt.GenerateFromPassword生成哈希值，用bcrypt.CompareHashAndPassword验证，确保不以明文存储密码。默认成本为10，可根据安全需求调整至12，在保证性能的同时抵御暴力破解。数据库仅存哈希值，登录时比对，配合HTTPS传输，全面提升安全性。
在Golang中实现用户密码加密，核心原则是绝不以明文存储密码。正确做法是使用经过验证的安全哈希算法对密码进行单向加密，并加入盐值（salt）防止彩虹表攻击。目前推荐的做法是使用Go标准库中的 golang.org/x/crypto/bcrypt 包，它内置了加盐和自适应哈希机制，非常适合密码存储。
使用 bcrypt 进行密码哈希
bcrypt 是专门为密码存储设计的哈希函数，具有以下优势：
- 自动处理盐值生成，无需手动管理
- 支持可配置的工作因子（cost），便于应对硬件性能提升
- 广泛使用，经过长期安全验证
以下是使用 bcrypt 对密码进行加密和验证的示例代码：
package main
import (
"fmt"
"golang.org/x/crypto/bcrypt"
)
func hashPassword(password string) (string, error) {
// 使用默认成本（DefaultCost）生成哈希，通常为10
hashedBytes, err := bcrypt.GenerateFromPassword([]byte(password), bcrypt.DefaultCost)
if err != nil {
return "", err
}
return string(hashedBytes), nil
}
func checkPassword(hash, password string) bool {
err := bcrypt.CompareHashAndPassword([]byte(hash), []byte(password))
return err == nil
}
func main() {
password := "mysecretpassword"
// 加密密码
hashed, err := hashPassword(password)
if err != nil {
panic(err)
}
fmt.Println("Hashed:", hashed)
// 验证密码
matched := checkPassword(hashed, "mysecretpassword")
fmt.Println("Matched:", matched) // true
matched = checkPassword(hashed, "wrongpassword")
fmt.Println("Matched:", matched) // false
}
选择合适的工作因子（Cost）
bcrypt 的 cost 参数控制哈希计算的强度，值越高越安全，但耗时也越长。Go中默认为10，一般建议保持默认或根据系统性能调整到12。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
如需自定义成本：
hashed, err := bcrypt.GenerateFromPassword([]byte(password), 12)
在高安全性要求场景下可提高cost值，但需评估登录接口的响应时间影响。
存储与验证的最佳实践
- 数据库中只保存 bcrypt 生成的哈希字符串，长度约为60个字符
- 每次用户登录时，使用 CompareHashAndPassword 函数比对输入密码与存储哈希
- 不要尝试“解密”密码，密码找回应通过安全的重置流程实现
- 前端也应使用HTTPS传输密码，避免中间人窃取
基本上就这些。bcrypt 简单易用且足够安全，是Golang中处理用户密码加密的首选方案。只要遵循上述模式，就能有效保护用户凭证不被泄露。
