javascript - 如何验证使用随机盐散列的密码？

Question

我正在开发一个网络应用程序。现在从安全 Angular 来看，密码从客户端发送到服务器时需要加盐哈希。 现在我的问题是，如果我随机生成一个盐，将其附加到密码并对组合进行哈希处理，将如何验证该密码。由于生成的盐是随机的，因此盐+密码组合每次都会不同。 如果我将生成的盐与用户凭据一起发送到服务器，这将暴露盐。暴露的盐会造成类似的麻烦，因为试图破解密码的人可以将暴露的盐附加到不同的密码获取哈希并匹配它。我检查了很多网站和关于堆栈溢出的问题，但没有一个完全符合我的需要。

有些工具可以读取浏览器的内存并窃取输入的密码。因此客户端也需要加盐哈希。

Answer 1

您必须在代码的服务器端保留盐。

当您对用户进行身份验证时，您会将密码发送到服务器。服务器附加盐，然后散列密码。盐应该存储在服务器端代码或数据库中的某个位置。

您应该永远将盐发送到应用程序的客户端。