java - 如何在客户端哈希密码？如何从java设备(android)传输密码？

Question

我们的服务器上没有明确的密码文本，我们希望对用户在应用程序上输入的内容进行哈希处理，然后将其发送到服务器。(我们通过 https 发送)

我们在服务器上有没有加盐的 md5(passwrod)，但如果安全的话，我们会尽快将其更改为 md5(password+salt) 或 md5(md5(password)+salt)!我读了这个问题: Is it worth hashing passwords on the client side

但是有一个问题。如果服务器向应用程序发送盐，这是不安全的，因为这篇文章位于“在 Web 应用程序中，始终在服务器上进行哈希”标题 https://crackstation.net/hashing-security.htm

所以如果我发送md5(密码+随机位)+随机位到服务器。服务器无法识别密码是否正确!因为服务器只有密码的哈希值!

Answer 1

MD5 对于密码散列 ( source ) 来说永远不安全。相反，我建议使用 bcrypt算法。在服务器端执行哈希操作确实是一个好主意，因此您应该依赖传输层的安全性，例如使用SSL而不是 TCP(或 HTTPS，正如您已经在做的那样)。