既然爆库了，就来说说网站密码如何保存吧

[feilaoda]

数据库保存：md5(password ＋ salt)这样么？
还是 md5( md5(password) + salt )?
我记得vbb登陆的时候用js取md5送到后台，没有https，后台直接存放md5。

怎样保存比较安全？邮箱地址要加密保存否？

[frittle]

电邮地址不能，也不该hash吧，不然系统或管理员要发电邮给用户怎么发

[feilaoda]

@frittle email不hash，但加密存储，可解密。或者，没必要加密，直接明文存就行了。

[9hills]

md5(username-password-salt) 即可

[args]

依靠md5就不可能安全吧。

[hermitu]

安全都是相对来说的，MD5总比明文保存 那样裸奔好吧

[delectate]

以前我做个小型的进销存，是这么弄得：
md5(base64(md5(base64(password) + salt )))

[glume]

vbb 多么遥远的传说，我记得vbb是md5( md5(password) + salt )?

[doublleft]

md5(base64(md5($pass) . md5($datetime)), 16) . md5($mail)

[est]

bcrypt

[real_newbie]

bcrypt

[kongruxi]

用了rails下devise这个gem，所以是Bcrypt

[donwa]

明显是：md5( md5(password) + salt )

md5(password ＋ salt) 碰撞太容易了。

[bhuztez]

scrypt

[feilaoda]

@donwa 我也觉得md5( md5(password) + salt ) 比较好一些，前段js md5后送到后台
登陆可以不用https