ユーザーのパスワードの保持の仕方。もっというとsaltの保持の仕方。

 １．DBテーブル
Railsのプラグインであるところのrestful_authenticationなどはDBテーブルにsaltを格納している。ただ、これだと（ブラインド）SQLインジェクションとかに会うと、パスワードと同時にsalt値もわかっちゃう。

２．外部ファイル
どっかのサイトでsaltは外部ファイルとかに持ちましょうとか行ってたんだけど、ユーザーごとに個別のsaltを持つなら外部ファイルはパフォーマンス的にどうなんだろう、と思ってしまう。サイトで１つしか持たないのなら３のソースベタ書きでいいように思う。

３．ソースベタ書き
そもそもこれだとユーザー個別のsaltは保持できず、サイト全体で１つのsaltしか持てない。また、ユーザー登録のタイミングでsalt値を決めるのではなく、あらかじめsalt値を決めることとなるので、salt値を知る者が存在することになる。

と、こんな風にそれぞれの特徴を考えてはみたものの、正直、生ハッシュにしないで、ちゃんとsaltさえかければセキュリティは格段にあがると思うし、saltをかける意味というのはレインボーテーブルを防ぐことと、同一のパスワードが同一の文字列としてDBに格納されないところにある。だから、saltをどこに格納するかとか、salt値がわかっちゃったらどうだとかは、あんまり考えなくてもいいかな、という気がする。

さらに、万が一パスワード（ハッシュ後）もsaltもわかってしまった、という場合を考えてみる。
１のDBであれば、パスワード変更時にsalt値も変更されるので、ユーザーにパスワードの変更をお願いすれば対処は完了する（別途アプリの穴をふさぐとか、お願い自体ハードルたけーだろ、というのはあるけど）。しかし、サイト全体で１つのsalt値だとそうはいかない。

そうか。だからrestful_authenticationとかはDBなんだ！とかさっき納得したので、その記念にメモしてみたんだけど合ってますかね。