安全性:我应该如何存储 ("Remember") 用户的用户名和密码以供将来使用？

Question

我需要我的应用程序能够记住用户的用户名和密码，以便用户将来不必再次输入。

显然，为了“记住”用户名和密码以供将来使用，这意味着我的应用程序必须以某种方式将用户名和密码存储到磁盘。

这通常是如何完成的？我知道 Pidgin 以纯文本形式存储用户名和密码。如果可能的话我想避免这种情况。有更好的办法吗？

编辑:我的目标平台是 Windows。

Answer 1

首先，请注意，没有一种本地存储名称和密码的方法是安全的。混淆和/或加密(我认为是强制性的)将防止随意窥探，但数据仍然必须在本地可解读才能有用，并且该过程可以由坚定的黑客复制。您应该始终为用户提供选择退出(或选择加入)此方案的选项。 (这是浏览器通常所做的。)

如果您使用名称/密码与服务器通信，更好的方法是在成功登录后从服务器获取身份 token 并将其存储在本地。这样，即使加密被破坏，用户的登录凭据也不会受到损害(尽管对帐户的访问可能会受到损害，至少在 token 被撤销之前是这样)。

编辑:由于您的目标是 Windows，请考虑使用 Data Protection API .