如何保护我的javascript客户端用户将填写他们的密码

Question

我如何有一个基本的javascript注册表单,它将用户填写的密码发送到安全的axis2 Web服务(将密码的盐渍哈希存储在数据库中).

问题是 - 是否有任何方式密码在发送到服务器之前被破解,因为用户输入明文密码并在服务器端进行哈希处理.

如何保护我的javascript客户端,你能推荐一些库吗？

先感谢您

Answer 1

密码以明文形式发送,并且可以在中间攻击中轻易地嗅探/欺骗,例如ARP posioning(其中与您或您的客户端在同一子网上的某人可以嗅探和操纵数据包).

获取SSL证书并为您的网站启用HTTPS(此处有关于apache的说明).

关于为什么有客户端上没有点紧固的东西更多一些详情,请参阅我的答案在这里.基本上,除非像HTTPS那样存在基于证书的信任系统,否则攻击者总是可以通过动态修改密钥或从javascript中删除加密代码来欺骗您尝试的任何加密协议.