在发布然后使用 BCRYPT 之前，我应该如何散列密码？

Question

我正在制作一个登录系统，登录时密码当前从 JavaScript 发送到 PHP 文件。

在 PHP 中，我使用以下代码进行哈希处理。

$hash = password_hash($_POST['password'], PASSWORD_BCRYPT);

在使用 POST 发送密码之前，我应该如何在 JavaScript 中对密码进行哈希处理？

我显然不想影响 BCRYPT 的安全。

Answer 1

在客户端所做的事情并不是由您真正控制的。我的意思是，即使您对密码进行哈希处理，客户端也有可能在哈希/加密之前获取密码。

var password = document.getElementById('login').value;
console.log(password); // It is as simple as it
//hash password...

上面有一个简单的例子来解释，客户端可以像这样获取密码，或者其他人可以使用XSS 攻击来获取它。您应该尽最大努力保护您的客户端免受 XSS 攻击，但是您无法控制客户端发生的事情。

如果您担心Man In The Middle (MITM) 攻击，最重要的是使用具有正确算法的 TLS 证书（这取决于您服务器的 OpenSSL 版本）。
简而言之，您应该使用 HTTPS 来保护您的客户端免受 MITM 攻击。

所以据我说，在发送之前不需要对密码进行哈希/加密。

Answer 2

如果你愿意，你可以在客户端玩一些 bcrypt 实现（搜索“bcrypt js”，有一个example of implementation）。

但是，这意味着您必须在服务器和客户端之间使用相同的盐值。 This answer 解释。

因此，如果客户端遭到入侵，您的秘密服务器盐值也会受到影响。

但是，你的意思是什么？如果您认为发送和比较哈希而不是发送一次普通密码并在服务器端对其进行哈希处理更安全，那您就错了。中间的人会窃取密码或哈希值并破坏安全性。

正确答案已在评论中给出：您最好使用 HTTPS 以获得最佳安全性。至少，如果您不能使用 HTTPS 协议，请使用摘要身份验证 (What is digest authentication?)

Answer 3

没有 HTTPS 没关系在客户端做这样的事情，因为它们会混淆你的代码，无论如何都会看到你的加密算法。