在Django中如何使用Bcrypt对比数据库存储密码与用户输入密码？

首先明确bcrypt的核心逻辑：你不需要单独存储salt，因为bcrypt.hashpw()生成的哈希字符串已经包含了salt信息。验证时直接用这个哈希串作为第二个参数传入bcrypt.hashpw()，它会自动提取salt并重新计算哈希，再和原哈希串比对。

正确的存储与验证流程 #

1. 存储密码：
   生成哈希串后，直接把这个完整的哈希串存入数据库（不需要拆分salt和哈希部分）。

   import bcrypt
   
   # 用户注册时，明文密码转bytes（bcrypt要求字节类型）
   password = "user_input_password".encode('utf-8')
   # 生成salt并哈希
   hashed_password = bcrypt.hashpw(password, bcrypt.gensalt())
   # 将hashed_password存入数据库（可存bytes类型，或转成str存储，取用时再转回bytes）
   

2. 验证密码：
   从数据库取出存储的哈希串，和用户输入的明文密码做比对：

   import bcrypt
   
   # 从数据库取出存储的哈希串（如果存的是str，先转成bytes）
   stored_hash = "从数据库获取的哈希字符串".encode('utf-8')
   # 用户输入的明文密码转bytes
   input_password = "用户登录输入的密码".encode('utf-8')
   # 比对：用输入密码和存储的哈希串计算，结果和存储哈希串相等则验证通过
   is_valid = bcrypt.hashpw(input_password, stored_hash) == stored_hash
   if is_valid:
       print("密码正确")
   else:
       print("密码错误")
   

常见问题排查 #

• 编码不统一：bcrypt只接受bytes类型参数，如果数据库存的是字符串（str），取出时必须用encode('utf-8')转成bytes，否则会导致比对失败或报错。
• 哈希串被截断：bcrypt生成的哈希串长度固定（约60字符），若数据库字段长度不足导致截断，会直接破坏比对逻辑，需确保字段长度足够存储完整哈希串。
• 手动拆分salt：不要尝试从哈希串里手动提取salt再单独传入，直接用完整的哈希串作为bcrypt.hashpw()的第二个参数即可。

内容的提问来源于stack exchange，提问作者nepko