处理 Web 应用程序的身份验证

Question

以明文形式发送用户名和密码，但通过 HTTPS；然后在服务器哈希（盐+密码）上并将其与数据库中的哈希进行比较。 （盐是每个用户）

做得对吗？ :)

干杯

PS：我认为我正在使用 Ruby/Sinatra，将通过 lighttpd 服务。

Answer 1

这实际上取决于您的威胁建模。 HTTPS 容易受到中间人攻击，因此如果预计网络钓鱼会构成威胁 - 您最好改进您的身份验证协议。