在jquery移动应用程序中本地安全地存储用户密码

Question

我需要使用jquery mobile api访问每个用户需要http身份验证的api.

我计划将该应用程序作为网站提供,并将其打包在Cordova中用于各种设备.

如果我有一个登录表单,用于捕获用户名和密码并将其存储为javascript变量,那么这些数据是否有任何暴露方式？

如果是这样,处理存储用户身份验证详细信息的最佳替代方法是什么？如果我不需要,我很勉强建立中间服务器.

非常感谢.:d

Answer 1

我建议不要将用户名或密码存储在 localStorage 中，而是存储访问令牌。访问令牌可以经常更新和更改，它也不会透露用户是谁或他们的散列密码是什么。

除了 iOS 钥匙串，或者如果您正在为非 iPhone 设备编码以提高安全性，您还可以：

• 每次登录和每次使用应用程序时更改访问令牌
• 将设备 ID 存储在服务器数据库中（请参阅http://docs.phonegap.com/en/2.2.0/cordova_device_device.md.html#device.uuid）
• 如果访问令牌或设备 ID 与数据库中存储的数据不匹配，则清除 localStorage 并请求新登录

确保您没有将设备 ID 存储在 localStorage 中。

为了增加安全性，您还可以将用户的 IP 地址存储在数据库中，并检查（服务器端）IP 地址是否匹配，但这可能太多了，因为用户每次在新位置或连接到互联网时都必须登录。如果他们的 IP 地址发生变化。

将 IP 地址存储在服务器数据库中，然后检查它是否匹配（服务器端）可能是最安全的，因为即使有人掌握了 localStorage 数据也没关系。