У IdM поставщика Okta недавно вывезли угарную дыру. Особенно для них, как поставщика IdM услуг. Оказалось, что их супер секурный и чудо как надёжный фреймворк даже не интересовался паролем, если юзернейм превышал 52 символа. В ответ они что-то жидко побулькали про включайте MFA и так далее, но рукожопость пришлось признать. https://trust.okta.com/security-advisories/okta-ad-ldap-delegated-authentication-username/ P.S. А как так? С 99% вероятностью ответ лежит на стороне соевых-латте программистов, которые так любят кричать что понимать как работает компьютер, что под капотом у фрейморков, читать документацию на библиотеки и так далее, это удел бородатых задротов. Можно на деньги спорить что тут очередной надмозг не знал что условный bcrypt просто игнорирует поле ввода, если оно превышает установленный размер. А то что умные люди говорят всё предварительно заворачивать в sha256, чтобы избежать таких приколов, так это зачем их слушать. Мы лучше просто зафигачим bcrypt(username || password) и пойдём релиз катить.