python - 如何在django中以最 "secure"的方式暴露用户密码？

Question

我正在开发 Django 1.9 项目，有人要求我允许某些用户打印包含一组用户及其密码列表的页面。当然，密码是加密的，并且没有现成的方法可以做到这一点。我知道这意味着安全漏洞，所以我的问题有点矛盾，但是有没有任何逻辑方法可以做到这一点，并且不会意味着软件存在巨大的安全漏洞？

Answer 1

不，没有任何逻辑方法可以做到这一点，这并不意味着软件存在巨大的安全漏洞。

如果密码存储正确(加盐和散列)，那么即使是对数据库具有不受限制访问权限的站点管理员也无法以纯文本形式告诉您密码是什么。

您应该拒绝这个无理要求。如果您有有效的“密码重置”功能，那么除了用户之外没有人需要知道用户的密码。 如果您没有可靠的“密码重置”功能，请尝试将对话和开发工作引向这个方向。很少有真正的业务需要知道/打印用户密码，并且此类功能请求可能来自对身份验证和授权的实现细节有误解(或不了解)的非技术人员。