bcrypt成本10是只算10次吗？

bcrypt的cost是采用指数标度的成本参数，cost为10并不是只对密码简单计算10次。主要计算开销通常随2的cost次方增长，提高一档往往使核心工作量约翻倍。实际耗时还受实现、设备和负载影响，不能只从参数数字推算某台服务器的登录延迟。

2026年11月8日，www.kkce.com 实操。同一公开口令分别生成cost 08与10的哈希；只核对参数及结果，没有进行性能基准测试。

观察成本参数怎样进入结果

在KKCE密码哈希工具填写公开教学口令，盐值留空，先选cost 8生成，再选cost 10生成。两份完整哈希的开头分别包含08和10，对应所选成本。主图是10档结果，对照图是8档；本轮没有对执行时长作基准测量。

指数因子不等于同名摘要做若干遍

从8升到10，指数模型对应的核心工作因子约增加到四倍，但这不能被描述成把SHA256重复四次。bcrypt有自己的密钥设置与运算流程，成本、盐值及摘要结果共同形成可用于校验的编码。手工把输出中的成本数字改大，并不会自动升级已经计算好的哈希。

本轮官网另一操作状态，供核对设置和样本差异。

升级成本需要重新计算

通常在能够获得候选密码且验证成功的适当流程中，以新参数重新生成并保存哈希，而不是修改旧字符串。迁移时还要顾及已有用户校验和系统资源预算。成本过低可能降低猜测开销，过高也可能占用过多服务资源，应在目标环境测试后选取。

容量判断应覆盖实际并发

在授权测试环境中测量正常及峰值登录请求的耗时、CPU占用和错误情况，再制定更新策略。快快测便于查看参数与编码结果，但浏览器上的一次生成不能代表生产并发能力。本轮样本没有绑定用户账号，未进行口令猜测，也没有给出统一适用的最佳cost值。