我认为在客户端的机器上直接进行密码加盐和哈希会更明智。原因是,我实际上从不想获取用户的密码。它是一个应该对他保密而不是我们两个都知道的字符串。现在有人争论说,您想保持盐的秘密,所以不能在通道上以明文发送它。 显然不是这样。所以现在我不明白为什么我不应该只请求客户端的哈希值。你怎么看?
编辑讨论将客户端密码发送到主机实际上并不是直接的问题。对于客户端来说,问题是根本不要将密码发送出计算机。乐观的客户端可能会认为他的计算机是安全的领土。但是从那条电缆(或天线)出去的一切都是Eve的领土。在安全场景中,您永远无法过于偏执。所以再次强调:密码永远不应离开客户端计算机!
编辑讨论将客户端密码发送到主机实际上并不是直接的问题。对于客户端来说,问题是根本不要将密码发送出计算机。乐观的客户端可能会认为他的计算机是安全的领土。但是从那条电缆(或天线)出去的一切都是Eve的领土。在安全场景中,您永远无法过于偏执。所以再次强调:密码永远不应离开客户端计算机!