看了一段時間各種資料，才算是理解密碼保護中，加鹽的好處及實現方式，總結如下：

1. 密碼在資料庫儲存方式

a. 明文儲存

b. 加密儲存

這種情況下，黑客拿到資料庫後，課使用暴力窮解破解(或者使用rainbow table彩虹表 來快速匹配hash值)

rainbow table: 黑客根據常用密碼/(其他被盜庫的密碼) 生成hash值，直接查詢

c.  加密+加鹽 儲存

2. shiro實現

我使用的函式如下：

String passwordEncode = new SimpleHash("SHA-512","password","abc",1).toString();

該函式有4個引數： 加密方法(md5, SHA-1, SHA-256, SHA-512 等等)，“密碼明文”,"鹽值"  hash次數

實際執行中，後臺會以  hash("abc(salt)"  "password") 的方式計算得出結果

例如，上面函式結果為：

be8795e7a4b2a9d3cd0ab93cfc1d1143dc428ae3f2a8acefa0b565baecf4985a8ad6dd39b755cfad972601de596a3fdb25baf592b552a6b1968d49d3c955c49f

找了一個線上加密解密網址(), 計算明文abcpassword的sha-512雜湊結果如下：

be8795e7a4b2a9d3cd0ab93cfc1d1143dc428ae3f2a8acefa0b565baecf4985a8ad6dd39b755cfad972601de596a3fdb25baf592b552a6b1968d49d3c955c49f

可見他們是一致的

總結：

使用 hash (password + salt) 並不能完全防止黑客盜庫後暴力破解/彩虹表破解 密碼，只是大大 增加了破解成本。

網站安全需要和其他措施一起使用： 

Https, password和salt分開儲存 等等