python如何进行sha256或md5加密_python hashlib模块实现sha256和md5加密

裘德小鎮的故事
发布: 2025-09-14 08:51:01
原创
295人浏览过
Python中使用hashlib模块进行SHA256或MD5哈希计算,需先将字符串encode为字节,再调用相应算法的update()和hexdigest()方法;MD5因存在碰撞漏洞不推荐用于安全场景,SHA256更安全且广泛用于密码存储、数字签名等;但仅用SHA256仍不足,应对敏感数据加盐(salt)以防范彩虹表攻击,最佳实践是结合bcrypt、scrypt或pbkdf2_hmac等专用密码哈希函数。

python如何进行sha256或md5加密_python hashlib模块实现sha256和md5加密

Python中要进行SHA256或MD5加密,主要依赖内置的

hashlib
登录后复制
模块。这个模块提供了一系列哈希算法的接口,使用起来非常直接和高效,只需几行代码就能完成数据的摘要计算。

在Python里处理哈希(或者很多人说的“加密”,虽然从技术上讲,哈希是单向的,更准确地说是摘要或散列)任务,

hashlib
登录后复制
模块是我们的主力工具。它设计得相当直观,基本上就是导入模块,选择你需要的算法(比如MD5或SHA256),然后把要处理的数据喂给它,最后获取结果。这里有个关键点,也是新手常遇到的坑:
hashlib
登录后复制
期望处理的是字节(bytes),而不是普通的字符串(string)。所以,你得记得先把你字符串数据
encode()
登录后复制
成字节。

import hashlib

# 示例数据
data_string = "Hello, Python hashlib!"
data_bytes = data_string.encode('utf-8') # 记住要编码成字节!

# --- MD5 加密 ---
md5_hash = hashlib.md5()
md5_hash.update(data_bytes)
md5_digest = md5_hash.hexdigest() # 获取十六进制表示的哈希值
print(f"MD5 哈希值: {md5_digest}")
print(f"MD5 哈希长度: {len(md5_digest)} 字符") # MD5通常是32个字符

# --- SHA256 加密 ---
sha256_hash = hashlib.sha256()
sha256_hash.update(data_bytes)
sha256_digest = sha256_hash.hexdigest() # 获取十六进制表示的哈希值
print(f"SHA256 哈希值: {sha256_digest}")
print(f"SHA256 哈希长度: {len(sha256_digest)} 字符") # SHA256通常是64个字符
登录后复制

你会发现,无论是MD5还是SHA256,基本流程都一样:先创建一个哈希对象,然后用

update()
登录后复制
方法传入数据,最后用
hexdigest()
登录后复制
(或
digest()
登录后复制
获取原始字节形式)获取结果。这种模式让API保持了一致性,学习成本很低。我个人觉得,对于大多数数据完整性校验或者非敏感数据标识的场景,这几行代码就能解决问题,非常方便。

MD5和SHA256,我到底该选哪个?它们有什么区别

在选择MD5还是SHA256时,这确实是一个很实际的问题,尤其是在安全性要求日益提高的今天。简单来说,如果你是做一些非安全敏感的数据完整性校验,比如下载文件后比对一下哈希值看文件有没有损坏,MD5可能还勉强能用,因为它计算速度快。但只要涉及到哪怕一点点安全性的考量,比如用户密码、数字签名或者任何需要抵御篡改的场景,MD5就应该被彻底放弃了。

立即学习Python免费学习笔记(深入)”;

MD5,全称Message-Digest Algorithm 5,它生成一个128位(32个十六进制字符)的哈希值。它曾经非常流行,但遗憾的是,在2004年就已经被证明存在“碰撞攻击”——这意味着攻击者可以找出两个不同的输入,它们会生成完全相同的MD5哈希值。这在安全领域是致命的,因为它意味着你可以伪造数据,但其哈希值却能与原数据匹配,从而绕过校验。所以,我的建议是,除非有非常特殊且明确的非安全场景,否则别用MD5。

SHA256,是Secure Hash Algorithm 256的缩写,属于SHA-2家族。它生成一个256位(64个十六进制字符)的哈希值。相比MD5,SHA256要“强壮”得多,计算起来也更慢一点(这在某些安全场景下反而是优点,比如密码哈希,能增加破解难度)。截至目前,SHA256还没有发现实际可行的碰撞攻击。因此,在绝大多数需要加密哈希的场景,比如存储用户密码(当然要加盐!)、区块链、数字证书等,SHA256是更推荐的选择。

# 快速比较一下长度和性能(仅作概念展示,非严格性能测试)
import time

data = b"Some very important data that needs to be hashed." * 100000 # 构造一个稍大的数据块

start = time.time()
md5_hash = hashlib.md5(data).hexdigest()
end = time.time()
print(f"MD5计算耗时: {end - start:.6f} 秒")
print(f"MD5哈希长度: {len(md5_hash)}")

start = time.time()
sha256_hash = hashlib.sha256(data).hexdigest()
end = time.time()
print(f"SHA256计算耗时: {end - start:.6f} 秒")
print(f"SHA256哈希长度: {len(sha256_hash)}")
登录后复制

你会发现MD5通常会快一些,但SHA256提供了更高的安全保障。我的个人观点是,除非有明确的理由且对安全风险有清晰的认知,否则直接选择SHA256或更强的算法,比如SHA512,是更稳妥的做法。

处理敏感数据时,只用SHA256加密就足够安全了吗?

这是一个非常关键的问题,答案是:不,仅仅使用SHA256对敏感数据(尤其是用户密码)进行哈希处理是远远不够的。 这是一个常见的误区,很多人以为只要用了SHA256这样“安全”的算法就万事大吉了。但现实并非如此简单。

问题出在哪里呢?即使SHA256本身没有碰撞漏洞,如果攻击者获取了你的哈希值数据库,他们依然可以通过“彩虹表攻击”或“字典攻击”来尝试破解。彩虹表是预先计算好的常见密码及其哈希值的对照表。攻击者拿到你的哈希值,直接在彩虹表里查,如果能找到匹配的,那么原始密码就被还原了。

度加剪辑
度加剪辑

度加剪辑(原度咔剪辑),百度旗下AI创作工具

度加剪辑 63
查看详情 度加剪辑

为了解决这个问题,我们必须引入“盐”(Salt)的概念。盐是一个随机生成的字符串,在哈希密码之前,我们会把这个盐和用户的原始密码拼接起来,然后再进行哈希。例如:

hash(密码 + 盐)
登录后复制
。每个用户的盐都应该是独一无二的,并且与哈希值一起存储(盐本身不是秘密,可以明文存储)。

加盐的作用主要有两点:

  1. 防止彩虹表攻击: 因为每个用户的盐都不同,即使两个用户设置了相同的密码,它们的哈希值也会因为盐的不同而完全不同。这意味着彩虹表失去了作用,攻击者必须为每个用户的哈希值单独进行计算,大大增加了破解难度。
  2. 防止字典攻击: 如果攻击者尝试用常见密码来暴力破解,他们不能简单地计算一次哈希值然后与所有用户的哈希值进行比较。他们必须为每个用户、每个尝试的密码都重新拼接上该用户的盐,再计算哈希,这使得攻击效率大幅降低。
import os

def hash_password(password):
    # 生成一个随机的盐,通常是足够长的字节串
    # os.urandom() 是一个生成加密安全的随机字节序列的好方法
    salt = os.urandom(16) # 16字节的盐,足够了

    # 将密码和盐拼接起来,然后进行SHA256哈希
    # 记得将密码和盐都编码成字节
    hashed_password = hashlib.sha256(password.encode('utf-8') + salt).hexdigest()

    # 返回哈希后的密码和盐,盐需要和哈希值一起存储,以便后续验证
    return hashed_password, salt.hex() # 将盐也转换为十六进制字符串方便存储

def verify_password(stored_hashed_password, stored_salt_hex, input_password):
    # 将存储的盐从十六进制字符串转换回字节
    stored_salt = bytes.fromhex(stored_salt_hex)

    # 使用输入的密码和存储的盐进行哈希计算
    input_hashed_password = hashlib.sha256(input_password.encode('utf-8') + stored_salt).hexdigest()

    # 比较计算出的哈希值是否与存储的哈希值匹配
    return input_hashed_password == stored_hashed_password

# 示例使用
user_password = "mySecretPassword123!"
hashed_pw, pw_salt = hash_password(user_password)

print(f"原始密码: {user_password}")
print(f"存储的哈希值: {hashed_pw}")
print(f"存储的盐 (十六进制): {pw_salt}")

# 验证密码
is_correct = verify_password(hashed_pw, pw_salt, user_password)
print(f"密码验证结果 (正确密码): {is_correct}")

is_wrong = verify_password(hashed_pw, pw_salt, "wrongPassword")
print(f"密码验证结果 (错误密码): {is_wrong}")
登录后复制

除了加盐,更高级的密码哈希算法(如

bcrypt
登录后复制
scrypt
登录后复制
argon2
登录后复制
或Python标准库中的
pbkdf2_hmac
登录后复制
)还会引入“工作因子”或“迭代次数”的概念。它们通过反复进行哈希计算,故意增加计算时间,使得暴力破解的成本呈指数级增长。这些算法是专门为密码存储设计的,比单纯的SHA256加盐更安全。如果你在处理高度敏感的密码数据,强烈建议考虑使用这些专门的库。不过,对于理解基础概念,SHA256加盐是一个很好的起点。

如何处理不同编码的输入数据,避免常见的编码错误?

在Python中,处理字符串和字节是一个常见的陷阱,尤其是在进行哈希操作时。

hashlib
登录后复制
模块的哈希函数明确要求输入是字节(
bytes
登录后复制
)类型,而不是我们日常使用的字符串(
str
登录后复制
)类型。如果你尝试直接把一个
str
登录后复制
对象传给
update()
登录后复制
方法,Python会抛出一个
TypeError
登录后复制
,提示你“a bytes-like object is required, not 'str'”。

这个错误非常直接,但对于不熟悉编码概念的开发者来说,可能会有点困惑。核心在于,字符串是字符的序列,而计算机底层存储和处理的是字节。编码(encoding)就是将字符转换为字节序列的过程,解码(decoding)则是反过来。

最常见的解决方案是使用字符串的

encode()
登录后复制
方法,将其转换为字节序列。通常,我们推荐使用
utf-8
登录后复制
编码,因为它支持几乎所有的字符,并且是Web和现代系统中最广泛使用的编码。

import hashlib

# 示例字符串
text_en = "Hello, world!"
text_cn = "你好,世界!"
text_mixed = "Hello 你好 World 世界"

# 正确的做法:使用 .encode() 方法
# 默认通常是 'utf-8',但明确指定是个好习惯
hash_en = hashlib.sha256(text_en.encode('utf-8')).hexdigest()
hash_cn = hashlib.sha256(text_cn.encode('utf-8')).hexdigest()
hash_mixed = hashlib.sha256(text_mixed.encode('utf-8')).hexdigest()

print(f"英文文本哈希: {hash_en}")
print(f"中文文本哈希: {hash_cn}")
print(f"混合文本哈希: {hash_mixed}")

# 错误示范:直接传入字符串会导致 TypeError
try:
    hashlib.sha256(text_en)
except TypeError as e:
    print(f"\n错误示范捕获: {e}")

# 不同的编码会导致不同的哈希值
hash_cn_gbk = hashlib.sha256(text_cn.encode('gbk')).hexdigest()
print(f"中文文本 (GBK编码) 哈希: {hash_cn_gbk}")
print(f"与UTF-8编码哈希是否相同: {hash_cn_gbk == hash_cn}") # 显然不同
登录后复制

从上面的例子可以看出,即使是相同的字符串,如果使用不同的编码方式转换为字节,其哈希值也会完全不同。这强调了一个非常重要的原则:在进行哈希操作时,必须确保输入数据的编码方式是统一和明确的。 如果你的系统或应用在不同地方使用了不同的编码(比如数据库是UTF-8,但某个接口接收的是GBK),那么在进行哈希比对时就可能出现不匹配的问题,即使原始字符串内容相同。

所以在实际开发中,我的经验是:

  1. 统一编码: 尽可能在整个系统中使用统一的编码,
    utf-8
    登录后复制
    是最佳选择。
  2. 明确指定: 在调用
    encode()
    登录后复制
    方法时,总是明确指定编码,例如
    my_string.encode('utf-8')
    登录后复制
    ,而不是依赖默认值,这样可以避免潜在的跨平台或环境问题。
  3. 处理编码错误: 如果你处理的数据源可能包含无法用指定编码表示的字符,
    encode()
    登录后复制
    方法有一个
    errors
    登录后复制
    参数可以控制行为,比如
    errors='ignore'
    登录后复制
    会忽略无法编码的字符,
    errors='replace'
    登录后复制
    会用问号等替换。但通常,如果出现这种问题,最好是追溯数据源,确保数据的清洁性。

理解并正确处理字符串和字节之间的转换,是避免这类“小”错误,确保哈希结果一致性和系统稳定性的关键一步。

以上就是python如何进行sha256或md5加密_python hashlib模块实现sha256和md5加密的详细内容,更多请关注php中文网其它相关文章!

python速学教程(入门到精通)
python速学教程(入门到精通)

python怎么学习?python怎么入门?python在哪学?python怎么学才快?不用担心,这里为大家提供了python速学教程(入门到精通),有需要的小伙伴保存下载就能学习啦!

下载
来源:php中文网
本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn
最新问题
开源免费商场系统广告
热门教程
更多>
最新下载
更多>
网站特效
网站源码
网站素材
前端模板
关于我们 免责申明 举报中心 意见反馈 讲师合作 广告合作 最新更新 English
php中文网:公益在线php培训,帮助PHP学习者快速成长!
关注服务号 技术交流群
PHP中文网订阅号
每天精选资源文章推送
PHP中文网APP
随时随地碎片化学习

Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号