javascript - 将哈希密码发送到 WebAPI

Question

我有一个运行良好的 WebAPI 应用程序。登录、注册等都没有问题。但是，我遇到了一些需要注意的事情。当有人注册或登录时，他们的密码将以纯文本形式发送。我知道我们可以申请HTTPS证书，这个问题就可以解决。然而，我更寻找一种可以散列密码并且 WebAPI 可以自动获取它的解决方案。我不打算更改内置的 WebAPI 功能来散列和存储 PW。这也是为了确保当我使用 FF 或 Chrome 开发工具时，没有人可以从发送的数据中读取 PW。

我正在使用 Angular 或 JQuery AJAX 来调用我的 WebAPI。

Answer 1

可以在前端对密码进行加密，并将散列密码和 salt + rounds(如果使用)发送到服务器。

当用户尝试登录时出现问题，您需要将盐和舍入到前端，散列他们的密码(输入的)将其发送到服务器，在那里您可以进行类似 hashedPassword 的比较== hashedPassword 并返回 true/false。

因此，在我看来，这比在服务器端完成所有操作的安全性要低。唯一的好处是，没有人可以在您的开发工具或有效负载中看到您的密码。