### 如何安全存储用户密码？
1. 绝不存储明文密码：明文存储是最高风险行为，一旦数据库泄露，所有用户密码直接暴露。
2. 使用哈希（Hashing）而非加密（Encryption）：
- 哈希是单向函数，不可逆（无法通过密文还原明文）。
- 加密是双向操作（需要密钥解密），不适用于密码存储。
3. 加盐（Salt）：
- 对每个密码附加唯一的随机字符串（盐），防止彩虹表攻击。
- 盐需与哈希结果一并存储，但需确保其唯一性和随机性。
4. 选择抗碰撞的慢哈希算法：
- 推荐算法：bcrypt、scrypt、Argon2、PBKDF2。
- 淘汰算法：MD5、SHA-1、SHA-256（若直接使用且不加盐）。
5. 迭代多次哈希：如 PBKDF2 通过多次迭代增加计算成本，抵御暴力破解。

---

### 常见加密/哈希方式
| 类型 | 示例 | 特点 | 安全性 |
|----------------|-------------------|----------------------------------------|--------------------|
| 哈希算法 | SHA-256 | 快速计算，需结合盐和慢哈希使用 | 弱（直接使用时不安全）|
| 慢哈希算法 | bcrypt、Argon2 | 内置盐、可调计算成本，抗 GPU/ASIC 攻击 | 高 |
| 加密算法 | AES、RSA | 需要密钥，可逆操作 | 不适用于密码存储 |

---

### 能否通过密文解密？
1. 如果是哈希（如 bcrypt 输出）：
- 理论上不可逆，只能通过暴力破解或彩虹表攻击。
- 加盐会大幅增加破解难度（使彩虹表失效）。
- 慢哈希算法（如 bcrypt）会显著降低暴力破解速度。
2. 如果是加密（如 AES 密文）：
- 需获取密钥才能解密，但密钥管理不当（如硬编码在代码中）可能导致泄露。
- 加密存储密码本身是错误做法，需改用哈希。

---

### 能否通过技术栈推测加密方式？
1. 开发语言和框架的默认行为：
- PHP：password_hash() 默认使用 bcrypt。
- Ruby on Rails：has_secure_password 使用 bcrypt。
- Django：默认使用 PBKDF2。
- Spring Security：支持 bcrypt、scrypt 等。
2. 数据库字段特征：
- bcrypt 哈希值通常以 $2a$、$2b$ 开头，长度固定。
- SHA-256 哈希值为 64 位十六进制字符串。
- 加密结果通常为二进制或 Base64 编码字符串。
3. 可能的推测：
- 若数据库字段包含盐和哈希值（如 salt:hash 格式），可能是自定义实现。
- 若哈希值长度和结构与已知算法匹配，可推测算法类型。
- 但无法 100% 确定，因开发者可能自定义混合算法或非标准实现。

---

### 关键结论
- 密码必须哈希加盐存储，加密（如 AES）不适用。
- 即使获取密文，破解成本取决于哈希算法强度和盐的随机性。
- 技术栈和数据库结构可提供线索，但具体实现需结合代码或文档分析。
- 安全核心：使用现代慢哈希算法（如 Argon2），而非依赖加密或快速哈希。