我发现我的错误说法已经影响了一些人，因些有必要澄清一下。
其实这和安全漏洞一点关系都没有，只要我们信任馒头，新语丝代码再完美都没用。当时我是看了这个贴子去的，感谢xystech把它找出来。[url]http://www.xys.org/forum/db/1/67/56.html[url]. 我看了这个贴子是以为馒头从新语丝拿到了用户记录，征得了版主同意的。所以不管读书论坛有没有漏洞，只要和我一样的想法，就肯定要上当。至于什么密码验证，完全是无关的细枝末节。
当时我的密码验证并没通过，因为馒头的代码有问题，把008变成了8. 我后来重注009, 变成了9后在馒头的手工干涉下登录了。
注意这些代码并非开源的原码，而是手改过的。有人说密码必然是hash过的，这我知道，开源的代码都是。简单的说所谓的hash就是数据库里不存原密码，但信息能用来验证密码对不对。这样做是使得管理员也不能得到用户密码。但是馒头改过以后并没有公布原码，我不想讨论这本身是否违反license, 但这样隐蔽的代码的安全只能依赖于我们对馒头的人品的信任。今天事情暴露以后，从他对他人的id和密码的处理我看不出他对别人的隐私有任何尊重的意思，所以完全丧失了对他人品的信任。如果谁再要说数据库里的密码是hash过的请拿出证据来。