Perl Mojolicious框架Yancy Auth：如何实现登录前读取Bcrypt动态盐？

Yancy的Auth::Password插件默认仅支持静态盐值配置，但可以通过自定义密码验证回调实现每个用户从数据库读取专属盐值的需求，具体步骤如下：

1. 调整数据库表结构 #

在User表中新增salt字段，用于存储每个用户的专属盐值，建议字段类型为VARCHAR(32)（足够存储16字节随机盐的十六进制字符串）。

2. 自定义注册时的盐值生成与密码加密 #

通过Yancy的before_create钩子，在用户注册时自动生成随机盐值，并使用该盐值加密密码后存入数据库：

# 先安装依赖模块：cpanm Crypt::URandom Crypt::Eksblowfish::Bcrypt

$self->yancy->schema('User')->{hooks}->{before_create} = sub {
    my ($schema, $item) = @_;
    # 生成16字节安全随机盐，转十六进制字符串
    my $salt = unpack('H*', Crypt::URandom::urandom(16));
    $item->{salt} = $salt;
    # 用Bcrypt算法（cost=12）结合盐值加密密码
    my $digest = Crypt::Eksblowfish::Bcrypt::bcrypt(
        $item->{user_password},
        '$2a$12$' . $salt
    );
    $item->{user_password} = $digest;
};

3. 配置Auth::Password插件使用自定义验证逻辑 #

移除原配置中的password_digest静态盐值，改用verify_password回调函数，在登录时从用户记录中读取盐值并验证密码：

$self->yancy->plugin(
    'Auth::Password' => {
        allow_register => 1,
        register_fields => ['username', 'user_password'],
        schema          => 'User',
        username_field  => 'username',
        password_field  => 'user_password',
        # 自定义密码验证回调
        verify_password => sub {
            my ($c, $username, $password, $user) = @_;
            # 从数据库取出的用户记录中获取专属盐值
            my $salt = $user->{salt};
            # 用相同算法和盐值计算密码哈希
            my $digest = Crypt::Eksblowfish::Bcrypt::bcrypt(
                $password,
                '$2a$12$' . $salt
            );
            # 对比哈希值验证密码正确性
            return $digest eq $user->{user_password};
        },
    }
);

注意事项 #

• 确保注册时的加密算法（Bcrypt）、cost值与验证时完全一致，否则密码验证会失败。
• 必须使用安全的随机盐生成方式（如Crypt::URandom），避免使用可预测的盐值。
• 如果已有用户数据，需要批量生成盐值并重新加密现有密码，确保老用户也能正常登录。

内容的提问来源于stack exchange，提问作者Dragos Trif