より速く/より使いやすいもの：MySQLまたはPHPのmd5関数？

Question

DBに対するユーザーのパスワードを確認しました。

何のMySQL MD5機能、高速である

... pwd = MD5('.$pwd.') 

OR PHP MD5機能

... pwd = '.md5($pwd).' 

2つのオプションの正しい方法は何ですか？

Answer 1

あなたのアプリケーションがあなたのサイトに登録したり、ログインしているときにアプリケーションがmd5を計算するだけであれば、md5への多くの呼び出しを1時間ごとに行いますか？数百のカップル？もしそうならば、私はが実際には小さいとは思わない。 PHPとMySQLの違いはまったく重要である。

「パスワードはmd5を使って格納されているということはどこに置くのですか」という質問は、「私はほとんど何も勝てない」よりももっと似ているはずです。

また、別の質問として、次のような質問があります。その種の計算にはどこでリソースを費やすことができますか？あなたは10台のPHPサーバとすでに重い負荷の下で1 DBサーバーを持っている場合は、あなたの答えを得る;-)

しかし、ちょうど楽しみのために：

mysql> select benchmark(1000000, md5('test')); 
+---------------------------------+ 
| benchmark(1000000, md5('test')) | 
+---------------------------------+ 
|        0 | 
+---------------------------------+ 
1 row in set (2.24 sec) 

そしてPHPで：

$before = microtime(true); 
for ($i=0 ; $i<1000000 ; $i++) { 
    $a = md5('test'); 
} 
$after = microtime(true); 
echo ($after-$before) . "\n"; 

あなたはおそらくこのような百万md5を計算しませんでしょうか？

（そして、これはSQLインジェクションを防ぐこととは何の関係もありません：ちょうど脱出を/引用、あなたのデータは常にまたはプリペアドステートメントを使用します！！）

Answer 2

どちらが速いのかわかりませんが、PHPで実行すると、SQLインジェクションの可能性は避けられます。

Answer 3

これを測定してください。それは確かな唯一の方法です。

Answer 4

ここでパフォーマンスが本当に問題になりますか？それは限界があると思われる。 MySQLの中でそれをやって

• は、DBはMySQLの中でそれをやって良いこと
• ある平文パスワードが沿ってさらに渡さ意味（とDB接続は、多くの場合、暗号化されていない）多くの作業を、行うことができます。
• これはSQLインジェクションとは関係ありません。あなたはMD5機能を動かさずに最初のバージョンを修正することができます。また、PHPのMD5関数にバグがあった場合でも、まだインジェクション攻撃の可能性があります。

Answer 5

私は、MySQLのうち列の値を読み、言う

、そして比較あなたのクライアントコード（例えばphp）に計算されたハッシュの結果。

これを行う主な理由は、データベースが非バイナリ形式（例：大文字小文字を区別しない）で列を照合するなどの愚かなことを避けることです。