wuduz

账号密码禁止以明文形式存入任何数据库、配置文件、日志、备份包内，也不允许使用MD5、SHA1这类快速哈希方式保存校验值，这类算法极易借助彩虹表批量破解。优先选用Argon2id作为主算法，缺少对应组件支持的存量服务可以使用bcrypt作为替代，算法本身内置随机盐值机制，每个账号生成独立盐，相同密码也会产出不同校验串，避免批量比对识别相同口令。盐值必须由密码安全随机源生成，不能使用账号名、角色ID、时间戳等可预测内容充当盐值，盐值随校验串一同保存在账号记录中，盐值本身不属于保密内容，仅用于计算校验。

增加独立密钥层配置pepper机制，pepper属于全局保密密钥，不与账号哈希记录放在同一张数据表，单独存放在认证服务配置或者密钥管理模块。校验流程为先将玩家输入口令和pepper拼接，再执行哈希运算，即便账号表数据外泄，攻击者缺少pepper密钥，破解难度会大幅提升。pepper定期轮换，轮换前准备核验脚本，批量重算存量账号校验记录，轮换过程设置灰度窗口，防止密钥更新后大面积登录校验失败。

数据表字段结构统一规划，账号表仅保留账号标识、算法标记、算力参数、完整哈希结果，不额外留存原始口令、前端提交报文。算力参数根据服务器负载固定配置，Argon2id设置内存、迭代次数、并行度，bcrypt设置cost系数，算力参数记录在哈希串内部，后续升级算法或者调高算力时，服务端自动识别老记录参数，兼容新旧校验规则。新注册、重置密码时统一使用最新算法参数，长期未登录的老旧账号，在首次登录成功后自动重生成新哈希记录，逐步淘汰老旧弱算法数据。

凭证数据和游戏业务数据做库隔离，账号认证库独立部署，不与角色、装备、金元数据表共用实例。认证数据库账号遵循最小权限，游戏主服务程序仅拥有账号表的查询和更新权限，不授予删除、修改表结构权限，数据库远程访问仅放行认证服务内网地址，禁止公网直连账号库。备份策略单独划分账号凭证备份，备份文件加密存放，加密密钥和数据库访问密钥分开保管，备份恢复操作走审批流程，恢复完成之后核对哈希记录完整性，防止备份泄露带来批量风险。

运维侧严格管控凭证相关日志输出，登录校验流程内禁止打印原始密码、哈希原文、盐值、pepper密钥，调试日志默认关闭敏感字段输出，排查故障时临时开启调试日志需要登记申请，排查结束立刻关闭并清理临时日志。登录失败日志只记录账号、访问地址、时间、结果标记，不返回账号是否存在的明确提示，统一返回账号或密码错误的标准化文字，避免外部人员遍历枚举账号清单。

会话令牌和登录凭证分开存储，会话令牌同样采用不可逆向设计，令牌绑定账号、访问地址、设备标识、过期时间，令牌存储使用独立缓存服务，设置自动过期清理策略，玩家主动登出、异地踢线、账号冻结时立即删除对应令牌记录。会话缓存不做持久化落地，避免令牌随数据库备份流出，令牌签名密钥单独管理，定期轮换，旧密钥保留短暂兼容窗口，完成轮换之后彻底下线。

配套账号凭证变更流程，密码重置、找回、强制改密功能不支持回显原有凭证，重置链接或者一次性验证码设置短有效期，单次使用后立即失效，重置成功自动更新哈希记录并销毁全部活跃会话。批量导入账号、迁移账号数据的操作，禁止直接导入明文密码，导入文件内只允许携带合规哈希记录，迁移完成后抽样核验登录校验流程，确认算法和盐值读取正常。

建立定期审计与升级巡检清单，运维周期内扫描账号表，筛选老旧算法记录、算力参数偏低的记录、长期未更新的账号标记，形成升级清单逐步处理。核对密钥文件权限，pepper、签名密钥文件仅认证服务运行账号具备读取权限，其他运维账号默认不可读取密钥内容。每一次认证模块代码、哈希算法、密钥配置变更都纳入变更审批，在测试服模拟数据库泄露、暴力破解、重放登录场景验证存储逻辑，确认不存在明文泄露、盐值复用、算法降级的问题之后再上线正式环境。

账号冻结、封禁流程同步处理凭证链路，封禁账号保留哈希记录但拦截全部登录请求，不删除凭证数据，解封时直接恢复校验通道。账号注销操作按照要求清理账号表内凭证记录，同时清除所有关联会话缓存，注销记录单独归档留存，避免注销账号凭证残留被复用。