在不将密码散列到 django-rest-api 的情况下发布密码是否安全？

Question

Django 表单在表单中使用 CSRF 令牌，甚至在 POST 到 django-rest-api 时也会使用 CSRF 令牌。我有两个关于使用表单发布密码而不通过 HTTP 连接散列的问题 -

1. 使用 django 表单发布进行身份验证来发布密码是否安全？
2. 将密码发布到 django-rest-api 是否安全？

Answer 1

散列密码的目的是不可逆地隐藏原始密码。密码散列而不是明文密码存储在数据库中，因此如果数据库被黑客入侵，他们将不知道原始密码。这意味着他们可能知道用户名，但他们将无法访问这些帐户（至少在没有投入资源来破解这些哈希值的情况下不会）。

回到你的问题，如果你存储密码散列，并且你希望用户提交密码散列，那么它就违背了整个目的，因为密码散列随后也将有效地用作明文密码。

要回答您的问题，是的，如果密码哈希存储在数据库中，则发布明文密码是安全的。如果您想提高安全性，请使用 HTTPS，以便在传输到服务器的过程中对明文密码进行加密。

编辑：
澄清一下，当我说：

如果存储了密码哈希，则 POST 明文密码是安全的 在数据库中

我的意思是它不受上面示例中指定的攻击向量（黑客入侵数据库以控制帐户）的影响。