c# - ASP.net 表单例份验证 - 保护对我不起作用

Question

在我的 web.config 文件中，我有以下内容:

<authentication mode="Forms">   <forms name=".ASPXAUTH" protection="All" loginUrl="~/Account/Login.aspx" timeout="2880" /></authentication>

但是当我用fiddler登录并查看流量时，我仍然可以看到明文密码。我不知道出了什么问题。

问候，

亚光

Answer 1

我只知道两种解决方法:

1. 使用 https。最佳解决方案，最安全。
2. 在发送之前使用 javascript 库 (sha1) 对密码进行哈希处理(并清除原始密码字段!)。还使用每次登录都不同的随机生成的盐，将盐存储在服务器和隐藏字段中，因此您也可以检查盐(用户可能不会更改它)。