c# - 我将如何混淆客户端上的密码并在服务器上进行反混淆

Question

我知道这不是一个好的做法。

我使用fiddler，即使在https中，我通常也会以明文形式看到密码。我想让客户端在发送密码之前快速混淆密码。当服务器收到请求时，它应该能够对其进行去混淆处理。

通常我在 fiddler 中看到的内容会发布到服务器

{
    "secure_username": "mmatiasn",
    "secure_password": "chickennuggetboy" //Plain text password I hate to see...
}

我希望看到发布到服务器的内容

{
    "secure_username": "mmatiasn",
    "secure_password": "d162314" //Obfuscate password that the server can deobfuscate.
}

我正在开展一个小项目以了解有关 dotnet 的更多信息，目前只能通过我拥有的小型 Intranet 网络访问它。我也不想设置 https。

Answer 1

您不需要，只需使用标准的 https(是有原因的)。

1. 没有必要这样做，如果有的话那将是标准做法。
2. 要散列密码，您需要盐，盐不应离开服务器(散列也不应该，但您不需要它来创建新的散列)。

使用 https 并在请求的消息正文中发送密码(使用 POST 或 PUT)。是的，如果您是客户端，您可以看到内容，如果您的 PC 是设计的，那么您可以在两者之间看到 fiddler。如果您在客户端之外使用嗅探器或其他东西来拦截流量，那么您将看不到内容，因为它是加密的。

... only accessible over a small intranet network I own. I don't want to set up https as well.

为什么？如果它是内部网，则使用自签名证书(免费)，它设置起来相对简单，几乎不需要时间，而且比它少时间(更不用说安全)会像您建议的那样开发任何东西。