java - 如何在客户端散列 JAAS j_password？

Question

我刚刚浏览了一些关于在 Web 应用程序中使用 JAAS 的基本教程。

我的一切设置都很好，但注意到 j_password 参数是从客户端浏览器以明文形式发送的。

有没有办法让 JAAS 在发送之前对这个值进行哈希处理？

我的应用程序在 Tomcat 7 上运行，所以我不知道这是否可以通过某些服务器特定设置或某些 Web 应用程序设置来实现？

Answer 1

看看The definitive guide to form-based website authentication

简而言之:客户端密码散列需要客户端上的javascript；如果您使用可以在服务器上启用的基于表单的身份验证，则没有这样的标准。在任何情况下，请确保您的连接已加密(HTTP over SSL)。那么在客户端散列密码就不那么重要了。