MySQL高级函数之：CREATE_DIGEST_PASSWORD()：密码摘要中的应用
大家好，今天我们来深入探讨 MySQL 中一个相对不常用，但却在某些安全场景下非常有用的高级函数：CREATE_DIGEST_PASSWORD()。 虽然它的功能被逐渐淘汰，但理解它的原理有助于我们更深入地理解 MySQL 的密码安全机制。
1. CREATE_DIGEST_PASSWORD() 是什么？
CREATE_DIGEST_PASSWORD() 函数主要用于生成密码的摘要字符串，该摘要字符串基于 ‘mysql_old_password’ 格式。这种格式在 MySQL 5.7.5 之后已经被标记为 deprecated (不推荐使用)，并且在 MySQL 8.0 版本中被彻底移除。 这意味着在新的 MySQL 版本中，您将无法使用这个函数。
尽管如此，了解它的工作方式仍然具有一定的学习价值，因为它可以帮助你理解更现代的密码哈希算法背后的基本概念。
2. CREATE_DIGEST_PASSWORD() 的语法
CREATE_DIGEST_PASSWORD(string)
- string: 这是要进行摘要处理的原始密码字符串。
3. CREATE_DIGEST_PASSWORD() 的工作原理
CREATE_DIGEST_PASSWORD() 函数使用一种简单的双重哈希算法来生成密码摘要。 具体来说，它执行以下步骤：
- 计算哈希值 1： 使用内置的
PASSWORD()函数（也是旧版本的密码哈希算法，同样不推荐使用）计算输入字符串的哈希值。 - 计算哈希值 2： 再次使用
PASSWORD()函数对哈希值 1 进行哈希处理。 - 返回结果： 返回第二个哈希值的十六进制字符串表示。
注意： PASSWORD() 函数本身使用一种弱哈希算法，容易受到彩虹表攻击。 因此，使用 CREATE_DIGEST_PASSWORD() 生成的密码摘要也存在安全风险。
4. 为什么 CREATE_DIGEST_PASSWORD() 被弃用？
CREATE_DIGEST_PASSWORD() 依赖于 PASSWORD() 函数，而 PASSWORD() 函数存在以下几个主要的安全问题：
- 弱哈希算法： 使用简单的哈希算法，容易受到暴力破解和彩虹表攻击。
- 缺乏盐值： 没有使用盐值，使得相同的密码始终生成相同的哈希值，进一步降低了安全性。
- 固定长度的哈希值： 生成的哈希值长度固定，容易被猜测。
由于这些安全缺陷，MySQL 官方建议使用更强大的密码哈希算法，例如使用 SHA256 或 bcrypt 等算法，并结合盐值来提高安全性。 MySQL 8.0 及更高版本已经默认使用更安全的身份验证插件，例如 caching_sha2_password 和 sha256_password。
5. 使用示例 (仅适用于 MySQL 5.7 及更早版本)
以下示例演示了如何在 MySQL 5.7 及更早版本中使用 CREATE_DIGEST_PASSWORD() 函数。
-- 假设您使用的是 MySQL 5.7 或更早版本
SELECT CREATE_DIGEST_PASSWORD('mysecretpassword');输出结果可能类似于：
*A21181549CE91F23B755A637099091267A6A59C6这个字符串就是密码 ‘mysecretpassword’ 的摘要。
6. 在用户身份验证中的应用 (过时)
在旧版本的 MySQL 中，您可以使用 CREATE_DIGEST_PASSWORD() 函数将密码存储在 mysql.user 表中。 当用户尝试连接时，MySQL 会使用相同的函数计算用户输入的密码的摘要，并将其与存储在 mysql.user 表中的摘要进行比较。 如果两个摘要匹配，则用户身份验证成功。
警告： 不要在新的 MySQL 版本中使用 CREATE_DIGEST_PASSWORD() 进行用户身份验证。 这种方法存在严重的安全风险。
以下是一个过时的示例，展示了如何在 mysql.user 表中设置密码：
-- 假设您使用的是 MySQL 5.7 或更早版本
UPDATE mysql.user SET Password = CREATE_DIGEST_PASSWORD('newpassword') WHERE User = 'myuser' AND Host = 'localhost';
FLUSH PRIVILEGES; -- 刷新权限，使更改生效7. 使用更安全的密码哈希算法
在现代 MySQL 版本中，您应该使用更安全的密码哈希算法来存储用户密码。 MySQL 提供了以下几种选择：
- caching_sha2_password (MySQL 8.0 默认)： 使用 SHA256 哈希算法，并结合盐值来提高安全性。
- sha256_password： 与
caching_sha2_password类似，也使用 SHA256 哈希算法。 - mysql_native_password (已过时，不推荐使用)： 这是旧版本的密码哈希算法，安全性较低。
8. 如何更改用户的身份验证插件和密码
以下示例演示了如何更改用户的身份验证插件和密码：
-- 使用 caching_sha2_password 插件
ALTER USER 'myuser'@'localhost' IDENTIFIED WITH caching_sha2_password BY 'newstrongpassword';
-- 使用 sha256_password 插件
ALTER USER 'myuser'@'localhost' IDENTIFIED WITH sha256_password BY 'anotherstrongpassword';
FLUSH PRIVILEGES;9. 使用 VALIDATION POLICY 加强密码策略 (MySQL 8.0+)
MySQL 8.0 引入了 VALIDATION POLICY 功能，可以用于强制执行更强的密码策略，例如：
- 密码长度要求
- 密码复杂度要求（例如，必须包含大小写字母、数字和特殊字符）
- 禁止使用常见的密码
以下示例演示了如何设置 VALIDATION POLICY：
INSTALL PLUGIN validate_password SONAME 'validate_password.so';
SET GLOBAL validate_password.policy = STRONG; -- 设置密码策略为 STRONG
SET GLOBAL validate_password.length = 12; -- 设置密码最小长度为 12
SET GLOBAL validate_password.mixed_case_count = 1; -- 密码至少包含一个大写字母和一个小写字母
SET GLOBAL validate_password.number_count = 1; -- 密码至少包含一个数字
SET GLOBAL validate_password.special_char_count = 1; -- 密码至少包含一个特殊字符
ALTER USER 'myuser'@'localhost' IDENTIFIED WITH caching_sha2_password BY 'StrongPassword123!';
UNINSTALL PLUGIN validate_password;注意： VALIDATION POLICY 是一个强大的工具，可以帮助你提高数据库的安全性。 请根据你的实际需求配置合适的密码策略。
10. 代码示例：安全的密码存储和验证（使用 PHP）
以下是一个使用 PHP 和 password_hash() 函数进行安全密码存储和验证的示例：
<?php
// 注册用户
// 1. 获取用户输入的密码
$password = $_POST['password'];
// 2. 使用 password_hash() 函数对密码进行哈希处理
$hashed_password = password_hash($password, PASSWORD_DEFAULT);
// 3. 将哈希后的密码存储到数据库中
// ... (将 $hashed_password 存储到数据库的 password 字段中)
// 登录用户
// 1. 获取用户输入的密码
$password = $_POST['password'];
// 2. 从数据库中检索用户的哈希密码
// ... (从数据库中获取 $hashed_password)
// 3. 使用 password_verify() 函数验证密码
if (password_verify($password, $hashed_password)) {
// 密码验证成功
echo "登录成功！";
} else {
// 密码验证失败
echo "密码错误！";
}
?>11. 表格：新旧密码机制的对比
| 特性 | CREATE_DIGEST_PASSWORD() (已弃用) |
caching_sha2_password/sha256_password |
|---|---|---|
| 哈希算法 | 弱哈希算法 (基于 PASSWORD()) |
SHA256 |
| 盐值 | 无 | 使用盐值 |
| 安全性 | 低 | 高 |
| 推荐使用 | 不推荐 | 推荐 |
| MySQL 版本支持 | 5.7 及更早版本 | 8.0 及更高版本 |
12. 总结：过时的技术，现代的安全实践
CREATE_DIGEST_PASSWORD() 函数虽然已经过时，但是了解它的原理可以帮助我们理解密码哈希的基本概念。 在实际应用中，我们应该始终使用更安全的密码哈希算法和密码策略来保护用户数据。 现代的 MySQL 版本提供了更强大的安全特性，例如 caching_sha2_password、sha256_password 和 VALIDATION POLICY， 应该充分利用这些特性来提高数据库的安全性。永远不要使用过时的技术进行密码存储。