где и хранятся публичные данные пользователей, или лучше создать отдельную таблицу с отношением 1 к 1?
Имхо без разницы
лучше не хранить ХЭШИ паролей
лучше сами пароли? ;)
к сожалению, сейчас частенько это почти одно и тоже. сопоставление хэшей и паролей уже открытая америка
А отдельная таблица нужна чтобы ...?
Даже если брать актуальные криптостойкие хеш функции?
вы не солите? тогда мы идём к вам!
Возможно, чисто логически разделить на публичные и приватные данные?
радужные таблицы на болте вертели любую криптостойкость
соленый хэш - это уже не ХЭШ. :) я не эксперт в ИБ, это лучше узнавать рекомендации лучших собаководов .
Только при солении нужно составлять таблицы для каждого пользователя
Если доступ к базе не имеют другие приложения, кроме бэкенда, то какой в этом смысл?
я так полагаю, вы ничего про bcrypt не слыхали там никаких радужных таблиц вам не светит
так KeyCloack хранит. таблица с юзерами (имя, почта, дата создания и т.д) и таблица с кредами
Ну а что это тогда?
Видимо никакой. Благодарю за разьяснение
просветите, интересно же.
вроде в гугле еще не начинали банить
я не увидел ничего, кроме соленой функции, но спасибо, люблю ходить туда куда посылают.
если очень коротко, то bcrypt выдает тебе для одного и того же значения разные хеши и в лоб их через equal сравнивать не выйдет, нужно использовать специальный алгоритм верификации хеша
"их через equal сравнивать не выйдет" вот это я упустил. спасибо за разъяснение. остался последний вопрос есть ли это в пг?
тут не подскажу - не знаю вообще, генерация хеша и его верификация - это удел приклада, а не субд
все зависит от угла зрения, если вы даете роль пользователю с правами пг, то это надо знать внутри пг, если у вас бд работает с пользователем с полными правами, а велосипед на прикладном уровне, это другой вариант.
может быть потому что там один ко многим? у одного пользователя может быть больше одного креденшала.
там всякие otp хранятся, да. но в том числе из-за того, что там юзеры аутентификацию проходят через внешние сервисы (вход черер гугл, гитхаб и т.п), а там кред нет
Обсуждают сегодня