密码保护短链接是一种将链接目标的访问限制为已认证用户的安全功能。在共享机密信息或分发限定内容时，密码保护是一种有效的访问控制手段。
深入探讨密码保护的技术原理。用户设置密码后，服务器端不会直接保存密码，而是通过哈希函数将其转换为不可逆的字符串后存储到数据库中。用于密码哈希的代表性算法有 bcrypt 和 Argon2 两种。
bcrypt 是 1999 年由 Niels Provos 和 David Mazières 设计的密码哈希函数，基于 Blowfish 加密算法。bcrypt 的输出是 60 个字符的固定长度字符串，格式如"$2b$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy"。开头的"$2b$"表示算法版本，"10"是成本因子，接下来的 22 个字符是盐值，其余是哈希值。bcrypt 有 3 个重要特征。第一，自动生成 128 位的盐值 (随机字符串) 并附加到密码上，因此即使是相同的密码每次也会生成不同的哈希值。这使得彩虹表攻击 (使用预计算哈希值字典的攻击) 失效。第二，可以设置成本因子 (拉伸次数)，通过有意增加哈希计算时间来大幅提高暴力破解攻击的成本。成本因子为 10 时，一次哈希计算约需 100 毫秒，每秒可尝试的密码约为 10 个。成本因子 12 约需 400 毫秒，14 约需 1.6 秒，呈指数增长。第三，可以随着未来硬件性能的提升而提高成本因子，从而维持长期安全性。欢迎参阅在 Amazon 搜索加密技术入门书籍。OWASP 在 2024 年推荐成本因子 10 以上。
Argon2 是 2015 年 Password Hashing Competition 的冠军算法。Argon2 有 3 个变体 (Argon2d、Argon2i、Argon2id)，密码哈希推荐使用 Argon2id。与 bcrypt 最大的区别在于可以指定内存使用量作为参数。针对 GPU 并行攻击，bcrypt 仅通过 CPU 密集型计算进行防御，而 Argon2id 结合了内存密集型计算，能有效阻止 GPU 高速并行攻击。OWASP 2024 年指南将 Argon2id (内存 19 MiB、迭代次数 2、并行度 1) 列为首选推荐，bcrypt (成本因子 10 以上) 为次选推荐。
认证流程如下：用户访问短链接时，显示密码输入界面。服务器端对输入的密码进行哈希化，与数据库中保存的哈希值进行比较。匹配则重定向到链接目标，不匹配则返回错误。作为暴力破解攻击的对策，许多服务设置了尝试次数限制 (速率限制)。例如，连续失败 5 次后实施 15 分钟的锁定，可以防止攻击者在短时间内大量尝试密码。
了解密码强度的具体标准很重要。NIST SP 800-63B (2024 年修订版) 规定密码最低字符数为 8 个以上，但要确保实用安全性建议 12 个以上。研究表明，与字符种类的组合 (大小写字母、数字、符号) 相比，密码长度对强度的影响更大。8 个字符的字母数字密码 (62 种) 的组合约为 218 万亿种，增加到 12 个字符则约为 3.2 × 10 的 21 次方种，暴力破解所需时间呈数量级增长。使用 bcrypt (成本因子 10) 暴力破解 8 个字符密码理论上约需 690 年，12 个字符则需数十亿年。密码短语 (例: correct-horse-battery-staple) 这种组合多个单词的长密码，是兼顾易记性和强度的有效方法。
商业应用场景非常广泛。在企业内部资料共享中，使用密码保护短链接可以防止外部第三方即使获得链接也无法访问内容。非常适合向客户发送提案书和报价单、共享项目进度报告资料等机密文件。实际运营案例中，销售团队为每个客户发行不同的密码保护短链接，通过点击数据追踪资料的查看情况。可以掌握客户查看资料的时间，从而判断最佳的跟进时机。
限定内容的分发也适合使用密码保护。付费会员专属内容、活动参与者限定资料、提前公开的信息等，只允许特定群体访问的内容分发都可以活用。只有知道密码的人才能访问，既能维护内容价值，又能便捷地进行分发。
为增强安全性的最佳实践是，通过与短链接不同的通信手段共享密码。例如通过邮件发送短链接，通过聊天或电话告知密码，分离通信渠道可以降低一方被截获时信息泄露的风险。密码本身也应使用 12 个字符以上、包含大小写字母、数字和符号的高强度密码。
建议同时使用有效期。在密码保护的基础上设置有效期，一定时间后链接本身将失效，从而构建双重安全层。临时信息共享最安全的方式是短有效期加密码保护的组合。
缺点方面，密码保护会提高访问门槛，因此不适合营销用途。需要输入密码的短链接的点击完成率与无密码的情况相比下降 40% 至 60%。此外还会产生密码管理负担。为多个短链接设置不同密码时，接收方可能会混淆密码。另外，bcrypt 和 Argon2 的哈希计算会消耗服务器的 CPU / 内存资源，大量同时认证请求可能导致响应延迟。根据用途判断是否真正需要密码保护非常重要。
相关书籍：如果您想系统学习信息安全，推荐在 Amazon 搜索相关书籍。