Ajax登录:密码加密

Question

我正在使用jQuery Ajax登录用户.现在,我使用JS从用户名和密码文本框中获取值,并将它们发送到检查凭据的aspx页面.然后它返回JSON,让用户知道他们是否已登录.一切都运行良好,但我注意到使用Firebug时密码是以纯文本形式发送的.

加密密码的最佳方法是什么？(顺便说一句,我不在HTTPS服务器上)

Answer 1

Bcrypt可能是你的朋友。还有一个名为jsBCrypt的 Javascript 实现。我强烈建议阅读这篇富有洞察力的文章：以不可破解的形式存储密码。

不过要小心！如果您不使用 SSL 或服务器提供的随机数，您可能容易受到中间人攻击。如果有人读取了客户端和服务器之间的（未加密的）流量，他就会获得加密的密码。对于他来说，在不知道真实密码的情况下，只要他愿意，就可以使用它来对服务器进行身份验证。