Rest API - 在 JSON 响应中获取密码是否安全

Question

我正在使用 Node.js 和 JWT 编写一个 Rest API。

我有下面的路由来验证用户。

我想问一下，User.findOne 方法返回的 user 返回正确的密码，因此我可以检查它是否正确。 但是这样做安全吗？我做了一个console.log，它显示了密码（尽管是加密的），但仍然感觉不安全，因为有人肯定会看到？

router.post('/authenticate', function(req, res) {

  // find the user
  User.findOne({
    name: req.body.name
  }, function(err, user) {

    if (err) throw err;

    if (!user) {
      res.json({ success: false, message: 'Authentication failed. User not found.' });
    } else if (user) {

      // check if password matches
      if (user.password != req.body.password) {
        res.json({ success: false, message: 'Authentication failed. Wrong password.' });
      } else {

        // if user is found and password is right
        // create a token
        var token = jwt.sign(user, app.get('superSecret'), {
          expiresInMinutes: 1440 // expires in 24 hours
        });

        // return the information including token as JSON
        res.json({
          success: true,
          message: 'Enjoy your token!',
          token: token
        });
      }

    }

  });
});

Answer 1

没有。

此外，密码不应加密保存在数据库中，而应散列。经典环境将密码保存为例如 md5（更常见）或 bcrypt（更安全）哈希。

这样可以确保即使您的数据库被盗，也不会有人知道您用户的密码；没有办法“解密”哈希（在一亿年之内）。

当用户登录时，您将输入密码的哈希值与分配给用户的哈希值进行比较。你可以使用像bcrypt-nodejs这样的优秀模块

编辑

从技术方面来说，这并不危险。当您启动服务器时，JavaScript 会编译您的代码并在 V8 引擎中执行结果。只要保存了节点和 MySQL 之间的连接，就无法访​​问数据库返回的内容。 人们可能会转储服务器内存并希望找到正确的位。但是，如果有人获得了必要的权限，那么无论哪种方式，你都注定要失败。

我为您实现了一个示例，它未经测试，但应该向您展示它的含义。

router.post('/register', function(req, res) {
    bcrypt.hash(req.body.password, null, null, function(err, hash) {
        if (!err) {
            var newUser = new User({
                name: req.body.name,
                password: hash
            });

            newUser.save(); // ????
        }
    });
});
router.post('/authenticate', function(req, res) {
    User.findOne({
        name: req.body.name
    }, function(err, user) {
        var password = 'GP%Z!zvbk/9>Ss-R';
        var passwordHash = '$2a$10$W.zZPCaNOuR152I4qENKH.8h7I6BPcfCYBJqHPNXbVaBz0XWVxnBm'; // bcrypt of string ')RZK&M(QX"k188cw'

        if (user) {
            password = req.body.password;
            passwordHash = user.password;
        }

        bcrypt.compare(password, passwordHash, function(err, success) {
            if (success) {
                var token = jwt.sign(user, app.get('superSecret'), {
                    expiresInMinutes: 1440
                });

                res.json({
                    success: true,
                    message: 'Enjoy your token!',
                    token: token
                });
            }
            else {
                res.status(401).json({
                    success: false,
                    message: 'Authentication failed.'
                });
            }
        });
    });
});

注意：默认情况下，bcrypt 对每个哈希操作使用随机盐。这意味着，每当您对给定的输入进行哈希处理时，它每次都会产生不同的哈希值。然后将盐存储为哈希的一部分，然后可以对其进行验证。详情请查看Wikipedia。