Как организовать автризацию в БД PostgreSQL?

pygame, Думаю для того что бы понять как это работает надо самому попробовать, но Вы все же правы

зачем сравнивать в коде?

Select * from user where upper(email) = upper($1) and pwd_hash = $2;

А соль? Если bcrypt, например, на го использовать, то сравнить на стороне базы не выйдет.

Ну и потом, делать select * - это вообще табу. Заездочка, это в консоли можно еще как-то, но не в коде.

а если select count(*) - это не табу? зачем вообще пароль вытаскивать из базы? не надо его гонять туда-сюда

Леонид Николаев, на стороне базы ты сверяешь уже готовый и посоленый хэш ведь.

Я рекомендую использовать bcrypt, он солит сам, соль не хранит, кост у него для того и сделан, чтобы не бояться таскать этот хеш хоть как. Потому как сравнение будет внутри бинарника.

Если вы храните соль, то, конечно, есть вариант сравнить в базе хеши,но мне так не подходит. Не хочу холиваров, но я потому и люблю bcrypt, что он прячет соль.

Andrey Tsvetkov, а никто и не гончет. Ходит только хеш. Ему-то ничего не страшно.

Леонид Николаев, но зачем? можно просто посчитать количество строк, где совпадают емэил и "солёный" пароль. Причём ответ от базы придёт в любом случае, а в вашем случае надо убедиться что количество результатов от базы больше нуля, а дальше сравнить. К тому же, пытаетесь забить голову новичку каким-то никому не нужным кроме вас bcrypt-том

Я не предлагаю новичку смотреть, как устроен бкрипт, его можно просто использовать. Но делать сразу надо надёжно, или не делать. Хранить соль, как я писал, я не хочу, но не настаиваю на том, что так нельзя. Проверка наличия ответа о(1), не думаю, что это критично где-либо.

Что же до ненужности современных алгоритиов хеширования, то тут я с вами не согласен, но спорить не буду. Ваше право использовать хоть дек.