推荐订阅源

首先看下zencart的原代码在includes\functions\password_funcs.php文件中。

////验证密码是否正确：
// This function validates a plain text password with an encrpyted password
  function zen_validate_password($plain, $encrypted) {
    if (zen_not_null($plain) && zen_not_null($encrypted)) {
// split apart the hash / salt
      $stack = explode(':', $encrypted);

      if (sizeof($stack) != 2) return false;

      if (md5($stack[1] . $plain) == $stack[0]) {
        return true;
      }
    }

    return false;
  }

////密码加密
// This function makes a new password from a plaintext password.
  function zen_encrypt_password($plain) {
    $password = '';

    for ($i=0; $i<10; $i++) {
      $password .= zen_rand();
    }

    $salt = substr(md5($password), 0, 2);

    $password = md5($salt . $plain) . ':' . $salt;

    return $password;
  }

举个例子：

用户密码是:123456，对应的md5(UFT8 encode)值为 E10ADC3949BA59ABBE56E057F20F883E ，并且，随机数假设为 F2。

那么zencart存到数据库的密码应该为:  E10ADC3949BA59ABBE56E057F20F883E:F2

这里需要强调的是，研究PHP zencart的md5函数用的encode是UTF8格式的。

这里列出C#代码的md5加密算法(encode 采用UTF8格式)：

        /// <summary>
        /// Encrypts a string to using MD5 algorithm
        /// </summary>
        /// <param name="val"></param>
        /// <returns>string representation of the MD5 encryption</returns>       
        public  string EncodeToMD5String(string str)
        {
            // First we need to convert the string into bytes, which
            // means using a text encoder.
            Encoder enc = System.Text.Encoding.UTF8.GetEncoder();

            // Create a buffer large enough to hold the string
            byte[] unicodeText = new byte[str.Length];
            enc.GetBytes(str.ToCharArray(), 0, str.Length, unicodeText, 0, true);

            // Now that we have a byte array we can ask the CSP to hash it
            MD5 md5 = new MD5CryptoServiceProvider();
            byte[] result = md5.ComputeHash(unicodeText);

            // Build the final string by converting each byte
            // into hex and appending it to a StringBuilder
            StringBuilder sb = new StringBuilder();
            for (int i = 0; i < result.Length; i++)
            {
                sb.Append(result[i].ToString("X2"));//这里输出大写,要是写成x2，则输出小写
            }

            // And return it
            return sb.ToString();
        }       

像这种MD5+SALT的方法，逻辑都暴露了，安全性也就这样了，增加麻烦罢了。

怎么增加安全性了，大家可以讨论下。