Oracle 11g数据库哈希密码验证原理及计算差异疑问

你对密码哈希流程的误解 #

你之前描述的"先SHA-1明文，再追加盐前缀S:"并不准确，Oracle 11g的S:格式密码存储是两次SHA-1哈希+特定字符编码的组合流程，这正是你用在线计算器得到的结果与数据库值不符的核心原因。

结果不符的关键原因 #

• 字符编码差异：Oracle在对明文密码做哈希前，会先将其转换为UTF-16BE编码（大端序UTF-16），而绝大多数在线SHA-1计算器默认用UTF-8或系统本地编码处理字符串。编码不同，对应的字节序列完全不同，哈希结果自然天差地别。
  比如明文密码"test"，UTF-8字节是74 65 73 74，UTF-16BE字节是00 74 00 65 00 73 00 74，两者的SHA-1哈希值完全不同。
• 两次哈希逻辑：Oracle的哈希流程分两步：
  1. 对UTF-16BE编码后的密码字节计算SHA-1，得到哈希值H1
  2. 生成20字节随机盐S，将H1与S拼接后再做一次SHA-1哈希，得到H2
• 存储格式细节：最终存入sys.user$表SPARE4列的内容是S:<H2的40位十六进制><S的40位十六进制>，你看到的数据库值是H2+盐的组合，并非直接的明文SHA-1结果。

身份验证的核心逻辑 #

对应你提到的有效旧SQL代码，正确的验证流程应该是：

1. 将用户输入的明文密码转换为UTF-16BE编码
2. 计算H1 = SHA-1(UTF-16BE编码后的密码字节)
3. 从数据库的SPARE4列中提取出H2（前40位十六进制）和盐S（后40位十六进制）
4. 计算本地H2' = SHA-1(H1 || 盐S的字节序列)
5. 对比H2'与数据库中的H2，一致则验证通过

内容的提问来源于stack exchange，提问作者kmsgli