为什么要限制密码的长度?

我刚刚注册了一个网站来购买一些商品,当我试图input我的(合理安全的)密码时,我被告知它太长了,我应该input5到10个字符之间的密码! 这是什么意思? 谁做这样的决定? 理想的密码当然是一个非常漫长而复杂的密码? 为什么人们坚持试图限制你可以使用的密码types?

你有没有实现login到网站? 是用于安全目的的login(例如购买商品)。 你对用户的密码有什么限制(如果有的话)? 你做这个决定的原因是什么?

限制密码的大小是为了节省存储空间。 它几乎表明你的密码被清楚地存储在他们的数据库中,所以他们想要限制它的大小。 否则,这只是一个限制,因为执行者不知道更好。 无论哪种方式,这是一个不好的迹象。

您可能需要联系网站的pipe理员并向他们询问。 他们应该存储哈希,而不是密码,不pipe密码有多大,密码总是相同的。 您input的密码的大小,以及您允许input的字符的域名应该没有限制。

最常见的原因是因为前端集成了一些旧的遗留系统,不能处理超过给定数量的字符。

似乎特别愚蠢,因为任何一半体面的网站不会在他们的数据库中存储明文密码,他们存储该密码的单向散列(根据所使用的algorithm,它总是一个设定的长度,例如sha1是一个160位的摘要),然后在login时重新刷新该密码,以确保新哈希密码匹配存储的密码。

除了前端devise美学 – 我同意,执行最大密码长度没有任何意义。 尽pipe有明显的原因,最小长度是完全不同的。

长度限制可能是由于存储空间问题,但这可能是一个非常糟糕的反脚本措施。 如果我的银行告诉我我的密码太短,而不是太长,我会更有信心。 每当我被告知我的密码太短,或者“特殊”字符不被允许时,我想:“哦,他们一定没有在他们的字典中find我的密码… facepalm

任何字符都应该被允许。 应鼓励通过短语 ,不要气馁。 他们比隐藏的密码更容易记住,因为他们不会在查找表中更难以破解。

一些(devise不佳的)网站的最大密码长度有一个简单的原因:这是他们在数据库中存储密码的所有空间。 有一个很好的机会,他们没有散列或处理它,这意味着它存储在纯文本。 这样的网站我使用一个使用,每次丢弃密码。 这是一个糟糕的devise,不幸的是人们仍然使用它。

这可能是他们用于encryption的algorithm不适用于大密码,或者他们只有有限的存储空间来存储它。 我知道这两个都是非常糟糕的原因,但是这是可能的。

如果我要制定密码规则,只能是保护用户,比如强迫他们至less使用一个特殊字符和数字,或者混合使用大小写。

不区分大小写的10个字符的字母数字密码有839,299,365,868,340,224种可能的排列方式。 假设它可以检查每秒100万次,这将需要几个冰河时期的蛮力。 这对我来说已经足够安全了。

“最好”的原因可能是你可以记住密码。

这可能是因为他们将密码存储为纯文本,并试图节省空间,但也可能是尝试阻止人们将密码设置为长时间,然后将其忘记,这意味着公司必须发送一封电子邮件你的密码,这有点麻烦。

以这种方式限制密码的唯一可能的原因是简化数据库表,这是一个不好的原因。 应该允许长而复杂的密码!

此外,该网站不应该存储密码,而是存储encryption哈希。 由于哈希是一个固定的大小,这使得数据库非常简单,存储需求很小。