Tôi có cần lưu trữ muối với bcrypt không?

javadoc của bCrypt có mã này để biết cách mã hóa mật khẩu:

String pw_hash = BCrypt.hashpw(plain_password, BCrypt.gensalt()); 

Để kiểm tra xem mật khẩu văn bản gốc có khớp với mật khẩu đã được băm trước đó hay không, hãy sử dụng phương thức checkpw:

if (BCrypt.checkpw(candidate_password, stored_hash))
    System.out.println("It matches");
else
    System.out.println("It does not match");

Các đoạn mã này ngụ ý với tôi rằng muối được tạo ngẫu nhiên bị vứt đi. Đây có phải là trường hợp, hay đây chỉ là một đoạn mã sai lệch?

Muối được kết hợp vào hàm băm (được mã hóa theo định dạng cơ sở64).

Ví dụ, trong mật khẩu Unix truyền thống, muối được lưu trữ dưới dạng hai ký tự đầu tiên của mật khẩu. Các ký tự còn lại đại diện cho giá trị băm. Hàm checker biết điều này và kéo băm ra để lấy muối ra.