Ovviamente, quando si memorizza una password, è necessario utilizzare qualcosa di simile a bcrypt prima di memorizzarlo nel database.
Ma ho un cliente che vuole aggiungere la possibilità di aggiungere un "codice segreto" a ogni voce del database che un utente dovrà inserire prima di accedere a quella voce.
La "chiave segreta" non è esattamente critica come una password, quindi dovrei crittografare questo codice segreto o addirittura ne avrà bisogno?
Sembra che il tuo cliente desideri utilizzare questi "codici segreti" come uno schema di autorizzazione a grana fine: solo le persone autorizzate ad accedere a tali voci dovrebbero conoscere il codice segreto corrispondente.
Se questo è il caso, allora quei codici segreti hanno uno scopo simile alle password e dovrebbero essere soggetti agli stessi standard di sicurezza.
Dipende. Qual è il vantaggio di non utilizzare la crittografia?
Quali sono gli svantaggi di non utilizzare la crittografia?
A meno che non si tratti di un ambiente in cui la sicurezza deve essere debole e più utenti devono avere accesso alle reciproche password (questi ambienti esistono), penso che l'uso della crittografia sia chiaramente l'opzione migliore.
Leggi altre domande sui tag design security authentication