加盐 (Salt) 与 PBKDF2：为什么单纯用 SHA-256 存储用户密码是不安全的

一、 彩虹表攻击与单次哈希的脆防

加盐 (Random Salt) 能彻底废掉预计算彩虹表；PBKDF2 / Argon2 通过上万次 Hash 迭代 (Key Stretching) 大幅增加 GPU 暴力破解成本。

技术团队应当在持续集成流水线中建立自动化回归测试、代码静态扫描规则与监控预警防线，在研发早期及时捕获并消除边界隐患。

研发人员需要对首屏可交互时间（TTI）、主线程阻塞耗时（TBT）以及高并发负载下的峰值内存占用进行全方位监控。通过

• 建立完善的自动化回归测试用例，覆盖边界极端场景。
• 在研发规范中明确字段与接口类型的命名约束，降低沟通成本。
• 定期审查生产监控日志，及时处置潜在的异常报错。

三、 生产环境排错与自动化防线建设

要防止此类问题在生产上线时引发资损或故障，必须建立多重自动化拦截机制。首先，在本地开发环境接入 Lint 静态代码检查规则与 TypeScript 严格模式，强制要求对潜在的隐式类型转换或不安全 API 调用进行编译期校验。

其次，在 CI/CD 流水线中引入回归测试用例，覆盖各种极端边界条件（如空值 NULL、超长字符串、负数及特殊控制字符）。通过在测试环境中模拟高并发流量与复杂数据载荷，可以在早期开发阶段暴露大部分潜在缺陷。

最后，上线后配合应用性能监控（APM）与日志实时报警系统，对关键接口的错误率与响应耗时进行全天候监控。一旦发现异常波动，能迅速基于完整的堆栈跟踪轨迹定位根因，确保系统的高可用与数据准确性。

• 在单元测试中增加边界值测试用例，覆盖极端数据载荷。
• 配置 CI/CD 自动化校验流水线，拦截不符合安全规范的代码提交。
• 建立完善的线上日志报警机制，实现突发故障的快速定位与止血。

工程落地：复现问题与自动化防御防线

在复现和排查此类问题时，第一步是抓取线上的真实请求 Payload 与完整报错 Stack Trace。很多时候本地无法复现是因为测试数据不够极端，比如缺失某些可选字段、存在 null 值或者包含特殊的不可见字符（如 \u0000 或 BOM 头）。

我们在代码中应该保持“防御性编程”意识。对第三方接口或者用户输入的数据进行严格的 Schema 校验（例如使用 Zod 或 TypeBox），并在 CI/CD 流水线中加上单元测试。与其在生产环境报 Bug 后紧急救火，不如在编译期和测试期就把隐患全部拦截。

• 抓取线上真实的请求 Payload 进行本地断点调试。
• 引入 Zod / TypeBox 进行强类型 Schema 校验。
• 在 CI/CD 中加入自动化回归用例，防止历史 Bug 再次复发。