javascript - html servlet 的客户端密码加密

Question

我有一个使用 tomcat 基础的网络应用程序。网页完全使用HTML5技术制作，没有使用jsp和spring。

我有一个注册用户和登录页面，该页面定向到登录 servlet 以验证用户凭据。我没有在 registerUser 页面和 login html 中使用 HTML 表单。我只是使用一个简单的 HTML 表格来获取输入。

在使用 JavaScript 或 jQuery 将密码发送到 servlet 之前，我需要在 HTML 中保护我的密码。我不希望我的密码在通过 post 请求向 servlet 发送数据时被黑客窃取。

Answer 1

如果可以，请使用 HTTPS。它为您提供的保护远远超过任何替代“客户端”解决方案所能达到的效果。

如果您不使用 HTTPS，则无法抵御中间人攻击。这意味着攻击者可以在您的网站传送给客户端时拦截您的网站，并在将其发送给受害者之前删除任何客户端加密/散列/保护。

这反过来意味着无论您在客户端尝试什么(密码散列、非对称加密、共享 secret 、签名)基本上都只是“模糊安全”，仅此而已。