指定自定义盐值生成固定argon2password及提取已有盐值失败求助

一、使用自定义固定盐值生成Argon2哈希 #

以Python的argon2-cffi库为例，可手动指定盐值生成固定哈希结果：

1. 安装依赖：

pip install argon2-cffi

2. 生成带固定盐的哈希代码：

from argon2 import PasswordHasher
from argon2.exceptions import VerifyMismatchError

# 自定义固定盐值（建议至少16字节，使用bytes类型）
FIXED_SALT = b"your-custom-fixed-salt"

ph = PasswordHasher()
# 传入salt参数生成哈希
hashed_password = ph.hash("target-password", salt=FIXED_SALT)
print(hashed_password)

# 验证逻辑（直接用生成的哈希即可，无需再次传入盐值）
try:
    ph.verify(hashed_password, "target-password")
    print("验证通过")
except VerifyMismatchError:
    print("验证失败")

其他语言（如Java、Go）的Argon2实现也支持手动指定盐值，核心逻辑均为在哈希生成步骤传入自定义盐字节数据，替代库的自动生成逻辑。

二、从已生成的Argon2哈希中提取盐值 #

Argon2哈希字符串遵循标准格式：$argon2<type>$v=<version>$m=<memory>,t=<iterations>,p=<parallelism>$<salt-base64>$<hash-base64>

提取盐值只需按$分割字符串，取第4段（索引从0开始计数），再进行Base64解码即可：

import base64

def extract_argon2_salt(argon2_hash):
    hash_parts = argon2_hash.split("$")
    if len(hash_parts) < 5:
        raise ValueError("无效的Argon2哈希格式")
    # 提取Base64编码的盐值，补全padding后解码
    salt_b64 = hash_parts[4]
    salt = base64.urlsafe_b64decode(salt_b64 + "=" * (-len(salt_b64) % 4))
    return salt

# 示例哈希
sample_hash = "$argon2id$v=19$m=65536,t=3,p=4$c29tZXNhbHQ$RdescudvJCsgt3ub+b+dWRWJTmaaJObG"
extracted_salt = extract_argon2_salt(sample_hash)
print("提取的盐值：", extracted_salt)

注意事项 #

• 自定义固定盐值会降低安全性：若盐值泄露，攻击者可针对性制作彩虹表，提升破解概率，仅建议在数据迁移这类必须场景下使用，迁移完成后应恢复使用自动生成的随机盐值。
• 自定义盐值长度需符合Argon2要求（至少8字节，推荐16字节以上），避免因盐值过短引发安全风险。

内容的提问来源于stack exchange，提问作者nagaraj jadhav