digest(data text, type text) returns bytea
digest(data bytea, type text) returns bytea

計算給定 data 的二進位雜湊。type 是要使用的演算法。標準演算法為 md5、sha1、sha224、sha256、sha384 和 sha512。此外，OpenSSL 支援的任何摘要演算法都會自動提取。

如果您想要以十六進位字串顯示摘要，請在結果上使用 encode()。例如

CREATE OR REPLACE FUNCTION sha1(bytea) returns text AS $$
    SELECT encode(digest($1, 'sha1'), 'hex')
$$ LANGUAGE SQL STRICT IMMUTABLE;

hmac(data text, key text, type text) returns bytea
hmac(data bytea, key bytea, type text) returns bytea

使用金鑰 key 計算 data 的雜湊 MAC。type 與 digest() 中的相同。

這與 digest() 類似，但只有在知道金鑰的情況下才能重新計算雜湊。這可以防止有人變更資料並同時變更雜湊以符合的情況。

如果金鑰大於雜湊區塊大小，則會先對其進行雜湊，然後將結果用作金鑰。

crypt(password text, salt text) returns text

計算 password 的 crypt(3) 樣式雜湊。儲存新密碼時，您需要使用 gen_salt() 來產生新的 salt 值。若要檢查密碼，請將儲存的雜湊值作為 salt 傳遞，並測試結果是否與儲存的值相符。

設定新密碼的範例

UPDATE ... SET pswhash = crypt('new password', gen_salt('md5'));

驗證的範例

SELECT (pswhash = crypt('entered password', pswhash)) AS pswmatch FROM ... ;

如果輸入的密碼正確，則會傳回 true。

gen_salt(type text [, iter_count integer ]) returns text

產生一個新的隨機鹽字串，用於 crypt() 中。鹽字串也告訴 crypt() 要使用哪個演算法。

type 參數指定雜湊演算法。接受的類型為：des、xdes、md5 和 bf。

對於具有疊代次數的演算法，iter_count 參數讓使用者指定疊代次數。疊代次數越高，雜湊密碼所需的時間就越長，因此破解密碼的時間也越長。然而，如果次數過高，計算雜湊的時間可能會長達數年，這在實務上不太可行。如果省略 iter_count 參數，則會使用預設疊代次數。iter_count 允許的值取決於演算法，並顯示在 表 F.18 中。

對於 xdes，還有一個額外的限制，即疊代次數必須是奇數。

要選擇適當的疊代次數，請考慮原始的 DES crypt 設計為在當時的硬體上達到每秒 4 個雜湊的速度。低於每秒 4 個雜湊的速度可能會降低可用性。快於每秒 100 個雜湊的速度可能太快。

表 F.19 概述了不同雜湊演算法的相對速度。該表顯示了嘗試 8 個字元密碼的所有字元組合需要多少時間，假設密碼僅包含小寫字母，或大小寫字母和數字。在 crypt-bf 條目中，斜線後的數字是 gen_salt 的 iter_count 參數。

備註

請注意，「「嘗試所有組合」」不是一個實際的練習。通常密碼破解是在字典的幫助下完成的，字典包含常規單字及其各種變體。因此，即使是有些像單字的密碼也可能比上述數字顯示的速度更快地被破解，而一個 6 字元的非單字密碼可能會逃脫破解。也可能不會。

pgp_sym_encrypt(data text, psw text [, options text ]) returns bytea
pgp_sym_encrypt_bytea(data bytea, psw text [, options text ]) returns bytea

使用對稱 PGP 金鑰 psw 加密 data。options 參數可以包含選項設定，如下所述。

pgp_sym_decrypt(msg bytea, psw text [, options text ]) returns text
pgp_sym_decrypt_bytea(msg bytea, psw text [, options text ]) returns bytea

解密對稱金鑰加密的 PGP 訊息。

不允許使用 pgp_sym_decrypt 解密 bytea 資料。這是為了避免輸出無效的字元資料。使用 pgp_sym_decrypt_bytea 解密原始文字資料是可以的。

options 參數可以包含選項設定，如下所述。

pgp_pub_encrypt(data text, key bytea [, options text ]) returns bytea
pgp_pub_encrypt_bytea(data bytea, key bytea [, options text ]) returns bytea

使用公開 PGP 金鑰 key 加密 data。 向此函數提供私密金鑰將產生錯誤。

options 參數可以包含選項設定，如下所述。

pgp_pub_decrypt(msg bytea, key bytea [, psw text [, options text ]]) returns text
pgp_pub_decrypt_bytea(msg bytea, key bytea [, psw text [, options text ]]) returns bytea

解密公開金鑰加密的訊息。key 必須是用於加密的公開金鑰對應的私密金鑰。如果私密金鑰受到密碼保護，您必須在 psw 中提供密碼。如果沒有密碼，但您想要指定選項，則需要提供一個空密碼。

不允許使用 pgp_pub_decrypt 解密 bytea 資料。這是為了避免輸出無效的字元資料。使用 pgp_pub_decrypt_bytea 解密原始文字資料是可以的。

options 參數可以包含選項設定，如下所述。

pgp_key_id(bytea) returns text

pgp_key_id 提取 PGP 公開金鑰或私密金鑰的金鑰 ID。 或者，如果給定加密訊息，則給出用於加密資料的金鑰 ID。

它可以傳回 2 個特殊的金鑰 ID

請注意，不同的金鑰可能具有相同的 ID。 這種情況很少見，但很正常。 然後，客戶端應用程式應嘗試使用每個金鑰解密，以查看哪個金鑰適合 — 就像處理 ANYKEY 一樣。

armor(data bytea [ , keys text[], values text[] ]) returns text
dearmor(data text) returns bytea

這些函數將二進位資料包裝/解包到 PGP ASCII-armor 格式中，這基本上是帶有 CRC 和額外格式的 Base64。

如果指定了 keys 和 values 陣列，則會為每個鍵/值對在 armored 格式中新增一個 armor header。這兩個陣列都必須是一維的，並且長度必須相同。鍵和值不能包含任何非 ASCII 字元。

pgp_armor_headers(data text, key out text, value out text) returns setof record

pgp_armor_headers() 從 data 中提取 armor header。傳回值是一組具有兩欄（key 和 value）的列。如果鍵或值包含任何非 ASCII 字元，則它們將被視為 UTF-8。

選項的命名方式與 GnuPG 類似。選項的值應該在等號後給出；使用逗號分隔各個選項。例如：

pgp_sym_encrypt(data, psw, 'compress-algo=1, cipher-algo=aes256')

除了 convert-crlf 之外的所有選項都僅適用於加密函數。解密函數從 PGP 資料中獲取參數。

最有趣的選項可能是 compress-algo 和 unicode-mode。其餘的選項應該有合理的預設值。

要產生新的金鑰

gpg --gen-key

首選的金鑰類型是 “DSA 和 Elgamal”。

對於 RSA 加密，您必須建立 DSA 或 RSA 僅簽章金鑰作為主金鑰，然後使用 gpg --edit-key 新增 RSA 加密子金鑰。

要列出金鑰

gpg --list-secret-keys

要以 ASCII-armor 格式匯出公鑰

gpg -a --export KEYID > public.key

要以 ASCII-armor 格式匯出私鑰

gpg -a --export-secret-keys KEYID > secret.key

在將這些金鑰提供給 PGP 函數之前，您需要對它們使用 dearmor()。或者，如果您可以處理二進位資料，則可以從命令中刪除 -a。

有關更多詳細資訊，請參閱 man gpg、《GNU Privacy Handbook》以及 https://www.gnupg.org/ 上的其他文件。

pgcrypto 會根據主 PostgreSQL configure 腳本的結果自行配置。影響它的選項有 --with-zlib 和 --with-ssl=openssl。

當使用 zlib 編譯時，PGP 加密函數能夠在加密前壓縮資料。

pgcrypto 需要 OpenSSL。否則，它將不會被建置或安裝。

當針對 OpenSSL 3.0.0 及更高版本編譯時，必須在 openssl.cnf 組態檔中啟用舊版提供者，才能使用較舊的密碼編譯法，例如 DES 或 Blowfish。

如同 SQL 中的標準，如果任何引數為 NULL，所有函數都會傳回 NULL。這可能會在使用不慎時產生安全性風險。

所有 pgcrypto 函數都在資料庫伺服器內部執行。這表示所有資料和密碼都在 pgcrypto 和用戶端應用程式之間以明文傳輸。因此，您必須

如果您無法做到，最好在用戶端應用程式中進行加密。

此實作無法抵抗旁通道攻擊。例如，pgcrypto 解密函數完成所需的時間，會因給定大小的密文而異。