不能直接用 MD5 或 SHA256 存密码，因其计算过快易被暴力破解；即使加盐，若盐固定或可预测仍难防彩虹表；应选用 bcrypt、scrypt 或 Argon2 等慢哈希方案，且 bcrypt 成本因子建议设为 12。
为什么不能用 md5 或 sha256 直接存密码
因为这些是快速哈希函数，现代 GPU 一秒钟能跑上亿次穷举；加盐（salt）也救不了——如果盐是固定或可预测的，彩虹表依然有效。真实攻击者会用 hashcat 或 john 直接跑你数据库里的哈希值，几小时就能撞出大量弱口令。
真正安全的方案必须满足三点：慢（抗暴力）、带随机盐（防彩虹表）、内置盐存储（别自己拼接字符串）。
-
bcrypt、scrypt、argon2是目前被广泛审计认可的方案 - Go 标准库不提供
argon2，但官方维护的golang.org/x/crypto/bcrypt开箱即用 - 别手写盐生成逻辑——
bcrypt.GenerateFromPassword内部已生成并嵌入 salt，解码时自动提取
用 bcrypt.GenerateFromPassword 正确生成密码哈希
关键不是“能不能用”，而是“参数怎么设”。默认成本因子（cost）是 10，但 2024 年建议至少设为 12（即 2¹² 次迭代），兼顾安全与响应延迟（通常仍
import "golang.org/x/crypto/bcrypt"
hashed, err := bcrypt.GenerateFromPassword([]byte("user_password"), 12)
if err != nil {
// 处理 err，比如 cost 超出范围（4–31）或内存不足
}
// hashed 形如 "$2a$12$..."，长度固定，含算法标识、cost、salt 和 hash
- 永远传原始密码字节切片，不要先
strings.TrimSpace再哈希——空格可能是用户有意设置的密码一部分 - 成本因子别硬编码成常量，应从配置读取，方便后续升级（比如某天迁移到
argon2） - 如果写单元测试，用固定
seed的伪随机生成器模拟不同密码，避免测试用例因哈希随机性失败
用 bcrypt.CompareHashAndPassword 验证登录，别自己解析哈希
有人试图用 strings.Split 拆解 a$... 提取 salt 再重算——这不仅多余，还可能引入时序攻击漏洞。Go 的 CompareHashAndPassword 内部使用恒定时间比较，并完整复现生成流程。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
err := bcrypt.CompareHashAndPassword(hashed, []byte(inputPassword))
if err != nil {
switch {
case errors.Is(err, bcrypt.ErrMismatchedHashAndPassword):
// 密码错误
case strings.Contains(err.Error(), "invalid hash"):
// 数据库里存了损坏/截断的哈希值（比如字段长度不够）
default:
// 其他系统错误，如内存分配失败
}
}
- 传入的
hashed必须是完整原始字节（从 DB 读出后未做任何 trim / utf8.DecodeRune 等操作） - 如果 DB 字段类型是
VARCHAR(60)，而bcrypt输出长度是 60 字节（$2a$12$...），那就刚好；若未来升级到argon2，哈希更长，字段要提前扩到VARCHAR(255) - 验证失败时，统一返回“用户名或密码错误”，别暴露“用户不存在”或“密码错误”的细节，防止用户名枚举
密码重置和哈希迁移的实际处理方式
上线后不可能强制所有用户改密码。当发现旧系统用了 sha256(password+salt)，得在登录成功后无缝升级：验证旧逻辑 → 生成新 bcrypt 哈希 → 更新数据库 → 后续走新流程。
- 在用户模型里加一个
password_hash_version string字段（如"v1"表示 bcrypt，"legacy_sha256"表示旧方案） - 登录时先查该字段：如果是旧版本，用对应逻辑验证；成功后再调用
bcrypt.GenerateFromPassword生成新哈希，更新字段和哈希值 - 注意并发更新风险：两个请求同时登录同一旧账号，可能产生竞态写入。可用数据库
UPDATE ... WHERE password_hash_version = 'legacy_sha256'的影响行数判断是否更新成功，失败则重试一次
最麻烦的不是技术实现，而是忘记在用户导出、日志脱敏、备份恢复等环节过滤 password_hash 字段——它虽不是明文，但属于敏感凭证，所有下游系统都必须视同 PII 处理。
