尽管密码匹配尝试，但密码哈希与哈希尝试不匹配

Question

我在 Go 服务器上有一个“createUser”函数，我在其中对新用户的密码进行哈希处理，并存储通过 POST 发送的表单中的数据。

用户及其统计数据的数据库被提取并转换为包含结构及其信息的字符串映射。它看起来像这样：

var userStruct struct {
  Users map[string]struct {
    Admin, Moderator, Root bool
    Pass                   *string
  }
}

它是指针的原因是因为稍后我可能想更改密码。

因此，当我创建一个新用户时，我将 POST 请求中的 JSON 解组为如下结构：

var newUser struct{
  Username, Password string
  IsAdmin, IsModerator bool
}

我用json.NewDecoder解码成结构如下：

err := json.NewDecoder(r.Body).Decode(&newUser)

然后，我对其进行哈希处理并使用 sha、json.MarshalIndent 和 ioutil.WriteFile:

存储结果

sha := sha1.New()
sha.Write([]byte(newUser.Password))
var hashedPass string;
hashedPass = hex.EncodeToString(sha.Sum(nil))
fmt.Println(hashedPass)
userStruct.Users[newUser.Username] = struct {
    Admin, Moderator, Root bool
    Pass                   *string
}{
    Admin:     newUser.IsAdmin,
    Moderator: newUser.IsModerator,
    Root:      false,
    Pass:      &hashedPass,
}
fmt.Println(*userStruct.Users[newUser.Username].Pass)
    file, _ := json.MarshalIndent(userStruct, "", " ")
_ = ioutil.WriteFile("userInfo.json", file, 0644)

然后，在登录端，我将凭证的解析形式的字符串切片转换为字节切片，并将 username/password 与数据库中存储的进行比较。

here，这说明我可以使用Gob编码器：

r.ParseForm()
sha := sha1.New()
buf := &bytes.Buffer{}
gob.NewEncoder(buf).Encode(r.Form["password"])
bufBytes := buf.Bytes()
sha.Write(bufBytes)
bs := sha.Sum(nil)
fmt.Println(hex.EncodeToString(bs))
usrJSON, _ := ioutil.ReadFile("userInfo.json")
var userStruct struct {
    Users map[string]struct {
        Root, Admin, Moderator bool
        Pass                   *string
    }
}
json.Unmarshal(usrJSON, &userStruct)
username := strings.ToLower(strings.Join(r.Form["username"], "")

然后我比较用户名和密码。不过，密码比较是我们唯一需要关注的问题：

if *userStruct.Users[username].Pass == hex.EncodeToString(bs) {
}

尝试调试，我在用户创建函数和用户登录函数中输出了散列结果。

我用的例子密码是myverysecretpassword.

存储的散列如下所示：

7816b9b6485dd785aab9f91a31a0b80997ed44b9

密码尝试如下所示：

08618c3225370a2205d698d06df48ba4b820c1d4

随着我越来越深入地研究，我意识到这可能是我对 pointers/addresses 的用法，但我仍然很困惑。

这是怎么回事？

Answer 1

在post关于将字符串切片转换为字节切片的答案底部，我似乎不太理解这一点：

Gob is simple and to the point. However, the format is only readable with other Go code.

多读几遍就明白了，Go 编码并不是要将字符串切片直接转换为字节切片。

根据评论，Gob是一个编码器，而不是字符串切片到字节切片的转换器。

我可以使用 http.Request.Form.Get("key") 来获取字符串形式的数据并使用 []byte().

将其转换为字节

尽管密码匹配尝试，但密码哈希与哈希尝试不匹配

Password hash does not match hash attempt despite the password matching the attempt

hash

json

struct

sha1

go