您对盐的作用有些误解。这并不意味着“攻击者无法猜测”。如果它是不可猜测的，那将是一段机密数据，我们称之为“钥匙”，而不是“盐”。

盐的存在是为了使密码派生过程独一无二，以防止攻击者在攻击多个密码时获得规模经济。如果攻击者试图猜测三个密码，他所付出的代价必须是攻击一个密码的三倍。“规模经济”的一个大例子是一个大表，其中包含常用密码的预计算哈希（或其邪恶的后代，彩虹表，它只是一个巨大的预计算表，并有一个技巧来保持它只是巨大的）。在存在盐的情况下，没有一个哈希函数，而是每个盐值一个; 或者，换句话说，预先计算的表将特定于给定的盐（计算期间使用的盐），并且对于攻击任何不使用该盐的密码毫无价值。

当然，如果攻击者可以获得哈希密码的副本，但无法获得相应的盐，他的任务确实变得非常困难。但这不是一个合理的场景：如果您有一个存储区域，可以将盐放在攻击者无法触及的地方，那么您为什么不将散列密码也存储在那里呢？所以安全分析假设攻击者知道盐。它们的有用性源于它们的独特性：在相同或不同的系统上，在相同或不同的时间，没有两个不同的散列密码具有相同的盐值（即使是同一用户的两个连续密码：当您更改密码时，您还要换盐）。

您可以以任何您认为合适的方式生成和存储盐，即使使用“动态生成器”，只要重复使用盐值的可能性可以忽略不计。这正是因为它们应该是公开的，并且攻击者不必“无法猜测”——无法猜测的事情需要重型火炮。

有一个稍微相关的概念，有时被称为“pepper”：一个也插入到散列过程中的密钥（参见前面的问题）。该密钥在系统范围内共享。这个想法是唯一的密钥比整个哈希密码数据库更容易保密，至少在某些配置中（例如，您将其保存在私有配置文件中，而不是 SQL 数据库中）。“pepper”概念意味着更复杂的管理（要备份而不丢失或在前端服务器之间共享的另一件事），并且仅在攻击者可以转储用户数据库但不能转储用户数据库的边缘场景中才有价值。完整的主机系统。在任何情况下，“胡椒”都没有意识到盐提供的独特性，因此胡椒不能代替盐——只能补充盐。

评论有点长。

盐确实给了他们一个起点。

但是，这通常是一个没有实际意义的问题，因为知道特定密码的价值几乎总是只与他们可以从您的用户表中反转的密码总数有关。换句话说，如果他们不得不花费数年的计算机时间来提取 10 个密码，那么这些数据实际上没有任何价值。

从站点中提取用户名和密码只有价值，因为用户倾向于在多个服务中重复使用相同的密码。对于黑客来说，以用户身份登录他们从中提取密码的同一站点上的用户显然并不重要，因为如果他们能够从您那里获取密码，那么他们很可能也可以提取他们想要的任何其他数据。

在出售这些用户名和密码时，它们具有价值，因为这些密钥可以打开其他锁，例如 Facebook 帐户和银行网站。他们唯一有价值的其他情况是通过在公共论坛（ala Sony）上发布用户名/密码来公开羞辱您。

因此，如果您对每个密码使用随机盐，那么您已经将获得任何有价值的东西所需的时间增加到愚蠢的程度。此外，拥有在合理时间内破解所有这些密码所需资源的人很可能是政府机构……这是一个完全不同的问题。

这导致我投票：找到一个不同的问题来解决。

一条重要的安全法则是“停止尝试自己加密”。停止创建自己的身份验证系统，只使用标准系统。你的建议没有什么特别的问题，但在提出问题时，你表明你没有完全理解这个问题。这就像用扳手看着木匠用锤子敲钉子一样。与其说它不起作用，不如说是你不信任他的能力。

如果您想让黑客的生活更加艰难，请进行尽可能小的更改。

让我们简化您的问题：我能做些什么来让破解密码变得更难？强迫他们窃取源代码有帮助吗？

例如，使用 SHA-2 会使黑客更难。他们的工具针对 SHA-1 和 MD5 进行了优化，许多工具不适用于 SHA-2。

或者，如果您真的想要源代码中的秘密，那么您建议的复杂内容不会比简单地在盐值前面添加“x”更能改善这种情况。这样，黑客可以窃取盐和哈希值，但在不知道源代码的情况下无法对它们做很多事情。

请记住，有些程序员会追随您，并且必须维护您的代码。如果这是一些奇怪的系统，他们会沮丧地扯掉头发。如果是普通的认证系统，或者是一个小改动的普通系统，那他们就不会骂你的名字。