不能直接用 hashlib 做密码哈希，因其不加盐、盐不随机、算法不可调参，而 Werkzeug 的 generate_password_hash 默认使用带 260000 轮迭代的 pbkdf2:sha256，自动处理唯一盐值和参数封装。
为什么不能直接用 hashlib 做密码哈希
因为密码哈希不是“算得快”就行，而是要抗暴力破解、抗彩虹表、支持加盐且盐值唯一。直接用 hashlib.sha256(password.encode()).hexdigest() 会漏掉三个关键点：没加盐、盐不随机、算法不可调参。Werkzeug 的 generate_password_hash 默认用 pbkdf2:sha256（带 260000 轮迭代），每次生成的盐都不同，输出字符串里已把盐和轮数全打包进去了。
常见错误现象：check_password_hash(hashed, '123456') 返回 False，但你确认密码没错——大概率是之前用了裸 hashlib 存的，格式和 Werkzeug 不兼容。
- 别自己拼接盐和哈希结果，Werkzeug 的输出是自解析格式，形如
pbkdf2:sha256:260000$xxx$yyy - 不要把哈希结果再 base64 或 hex 编码一次，
generate_password_hash输出已是标准字符串，可直接存数据库 - 如果旧系统用的是 bcrypt 或 argon2，Werkzeug 默认不支持，得换库或手动适配
generate_password_hash 的参数怎么选才不翻车
默认参数够用，但上线前必须确认 method 和 salt_length 是否符合当前安全基线。Flask 2.3+ 默认 method 是 pbkdf2:sha256，不是 sha256 单次哈希；老版本可能默认 sha256，那就不安全。
- 显式指定
method='pbkdf2:sha256'，避免依赖隐式默认值 -
rounds=260000是当前推荐下限，低于 100000 容易被 GPU 暴力扫穿 -
salt_length=16足够，别设成 8 —— 太短增加盐碰撞概率 - 别传
pepper（硬编码密钥）进去，Werkzeug 不支持，得自己在应用层加
示例：generate_password_hash('mypass', method='pbkdf2:sha256', rounds=260000)
立即学习“Python免费学习笔记（深入）”；
让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限
check_password_hash 校验失败的几个真实原因
它不报错，只返回 False，所以容易误判为“密码错了”，其实是哈希格式或环境问题。
- 数据库字段类型太短：Werkzeug 默认输出约 90 字符，
VARCHAR(64)必然截断，存不全就必然校验失败 - 从数据库读出的哈希值被 trim() 过，前后空格或换行导致比对失败
- Python 版本升级后 Werkzeug 行为变化：比如 2.2 → 2.3 后默认 rounds 从 290000 降到 260000，但老哈希仍能校验；反过来，用新 rounds 生成的哈希在旧环境可能不识别
- 用户输入密码带不可见字符（如粘贴时混入零宽空格），
request.form.get('password')拿到的就是脏数据
调试建议：打印 len(hashed) 和 repr(hashed)，看是不是被截断或含异常字符
Flask-SQLAlchemy 模型里怎么安全集成
别在模型 __init__ 里直接调 generate_password_hash，因为 ORM 初始化时可能还没拿到原始明文（比如用 **kwargs 构造），也别在 @property 里做哈希——会重复计算。正确做法是用 SQLAlchemy 的 @validates 或 hybrid_property 控制写入路径。
- 用
@validates('password')拦截赋值，只对非哈希字符串做处理；已哈希的跳过，方便测试和迁移 - 数据库字段名建议叫
_password_hash（带下划线），区分于明文password属性 - 校验逻辑放实例方法里，比如
def check_password(self, raw): return check_password_hash(self._password_hash, raw) - 别把
check_password_hash放到@hybrid_method里试图在 query 中用——SQL 层无法解析 Werkzeug 哈希格式
关键点：哈希动作只发生在「接收用户输入并入库」那一刻，其他所有读取、序列化、API 返回都不碰明文密码
Werkzeug 密码哈希看着简单，但真正卡住人的往往不是函数怎么调，而是数据库字段长度、部署环境 Python/Werkzeug 版本、以及前端传过来的字符串有没有藏不可见字符——这些地方一漏，就变成“明明代码没错，就是登不进去”。
