管理面板是否需要 HTTPS？在 node.js 中保护它的最佳方法是什么？

Question

我正在开发一个带有自定义管理页面的小型网站，允许简单地修改和插入内容。

它是这样工作的：在 domain.com/admin 中有一个带有认证表单的页面。当然，唯一知道密码的用户是管理员（不是我，我的客户）。如果密码正确，服务器会发送一个允许修改网站内容的 html 页面。如何？动态信息存储在服务器本地主机上设置的 mongodb 数据库中。因此，使用简单的 CRUD 操作，如插入、更新和删除，网站的内容会发生变化。在客户端，我只是对服务器执行相同的“发布”请求，从而进行 CRUD 操作。

我需要确保这个系统安全。我需要 https 进行身份验证吗？您认为管理员的简单身份验证密码就足够了吗？那么我检查密码是否匹配的方式呢？我正在考虑将管理员密码存储在数据库中（也有密码），但可能没用。我可以简单地比较两个字符串，因为密码只有一个，管理员没有其他不同的注册用户。但我不确定，这似乎不安全 :D 有什么最好的方法吗？

我正在使用节点 js（没有快递）。我有一个专用的根 VPS。

Answer 1

https 会更好，你可以将盐和哈希码保存在数据库中，而不是直接保存密码。可能大多数网站都有重置密码的功能，找不到密码，他们不直接将密码保存在文件中。当有人知道盐和哈希码时，他们无法反转密码。