Django如何实现新密码与历史密码相同字符不超n个的限制

核心逻辑前提 #

单向哈希的不可反推特性决定了仅靠现有存储的历史完整哈希值，只能校验新密码是否与历史密码完全一致，无法直接计算两个原始密码的字符重合度。

可用合规方案（均无需自定义加解密逻辑） #

方案1：调整规则为禁止完全复用历史密码（Django生态原生支持） #

这是目前行业通用的密码历史限制规则，实现成本最低且完全合规：

• 直接调用Django内置的check_password()方法即可实现，无需引入额外依赖，校验逻辑为：用户提交新明文密码时，遍历所有历史哈希值，用历史哈希对应的盐、迭代次数等参数对新密码做相同哈希运算，对比结果是否一致即可。
• 示例代码：

from django.contrib.auth.hashers import check_password

def check_historical_password_duplicate(new_plain_pwd, user_historical_hashes):
    """校验新密码是否和历史密码完全重复，返回True代表重复"""
    for hist_hash in user_historical_hashes:
        if check_password(new_plain_pwd, hist_hash):
            return True
    return False

• 也可以直接使用成熟第三方包django-password-history，它原生兼容Django所有内置哈希算法，可直接配置限制最近N次密码不可复用，无需自定义开发。

方案2：保留字符重合度限制规则（合规单向存储实现） #

如果必须要求新密码不能和历史密码有n个及以上相同字符，可以通过存储密码的单向特征值实现，无需任何对称加解密逻辑，无密码泄露风险：

• 实现逻辑：在用户每次成功设置新密码时，对新密码的每个字符单独做单向哈希，将所有单字符哈希的列表存储到PasswordHistory表的扩展字段中。该特征值是单向哈希结果，无法反推原始密码的任何明文信息，符合密码存储安全规范。
• 校验逻辑：用户提交新明文密码时，先对新密码的每个字符做相同规则的单向哈希，再与每个历史密码的单字符哈希列表做比对，统计匹配的哈希数量即可判断是否超过n个相同字符的限制。
• 单字符哈希可以直接复用Django内置的make_password()方法实现，无需自定义哈希逻辑。

风险提示 #

不要采用对称加密存储历史密码明文的方案，该方案存在密钥泄露导致全量历史密码被窃取的风险，不符合网络安全等级保护及通用数据安全规范要求。

内容的提问来源于stack exchange，提问作者Saurabh Batra