JavaScript 密码学库

Question

使用 crypto-js 等 JavaScript 库实现 HMAC 效果如何？

在 crypto-js 网站提供的示例中[https://code.google.com/p/crypto-js/#SHA-2 ] 提到了

var hash = CryptoJS.HmacSHA512("Message", "Secret Passphrase");

如果java脚本文件本身提到了 key ，任何人都可以查看源代码并了解 key 。

我的理解正确吗？

另外，请告诉我何时需要在 Web 应用程序中使用此类加密 JavaScript 库？

Answer 1

是的，你是对的。要点如下:

首先

这项工作可以在服务器端使用，使用node.js。所以， key 不存在安全问题

其次

客户端，存在安全问题，但 HMAC-X 函数用于对消息进行签名，因此正常的工作流程是使用用户 secret 密码对消息进行签名，然后发送在网络上(签名消息，而不是 secret )。工作完成后应删除该 secret 。

因此用户可以通过调试代码来访问 secret ，但这是他的所以......事实上并没有真正的安全问题。