데이터베이스 기능을 사용하여 사용자 인증을보다 신속하게 수행

Question

데이터베이스 기능을 사용하여 사용자를 인증하는 더 빠른 방법이 있습니까? crypt() 함수는 많은 시간이 걸렸습니다.

테이블 :

id (bigserial) pkey 
username (text) indexed 
password (text) indexed [password is the hash: crypt('12345678', gen_salt('bf', 8))] 

일반 시험 :

test_db=# explain analyze SELECT id FROM users WHERE id = 1 AND password='12345678' LIMIT 1; 
                   QUERY PLAN 
------------------------------------------------------------------------------------------------------------------------------------------ 
Limit (cost=0.28..8.29 rows=1 width=8) (actual time=0.029..0.029 rows=0 loops=1) 
    -> Index Scan using users_idx_password01 on users (cost=0.28..8.29 rows=1 width=8) (actual time=0.028..0.028 rows=0 loops=1) 
     Index Cond: (password = '12345678'::text) 
     Filter: (id = 1) 
Total runtime: 0.037 ms 
(5 rows) 

크립트() 테스트 :

test_db=# explain analyze SELECT id FROM users WHERE id = 1 AND password=(crypt('12345678',password)) LIMIT 1; 
                  QUERY PLAN 
-------------------------------------------------------------------------------------------------------------------------------- 
Limit (cost=0.28..8.30 rows=1 width=8) (actual time=7.534..7.534 rows=1 loops=1) 
    -> Index Scan using users_pkey on users (cost=0.28..8.30 rows=1 width=8) (actual time=7.534..7.534 rows=1 loops=1) 
     Index Cond: (id = 1) 
     Filter: (password = crypt('12345678'::text, password)) 
Total runtime: 7.550 ms 
(5 rows) 

Answer 1

내가 포스트 그레스는 쿼리를 처리하는 방법에 대해 완전히 잘 모르겠지만, crypt 함수가 모든 행에 대해 실행된다는 것은 나에게 보인다. 목적에 따라 느린 적절한 암호 해시 함수 사용을 고려할 때 이러한 쿼리는 모든 행에서 느려집니다.

SELECT password FROM users WHERE username = "carfield" 

나중에 코드에서 발견 된 암호 해시를 테스트 :

이러한 쿼리를 처리하는 방법은 사용자 만 검색하고 나중에 암호 해시를 확인할 수있다. 이것은 또한 각 암호마다 고유 한 염을 처리 할 수있게 해줍니다. 적절한 해시 함수는 BCrypt, PBKDF2 또는 SCrypt이며 모두 비용 요소가 있습니다. 프로그래밍 환경에서 이미 기능을 제공하는 경우가 많으며, PHP의 예입니다.

$isPasswordCorrect = password_verify($password, $existingHashFromDb);