nodejs中的安全性

Question

我是 NodeJS 的新手，并且使用护照制作了 Web 应用程序登录功能。

我知道当有人注册帐户时，应用程序需要对他们的密码进行哈希处理并将哈希值保存到数据库中。但是当我使用console.log() 时，该对象仍然包含用户的纯文本密码。我觉得它不安全，但我不知道如何解决这个问题。谁能解释我在这里做错了什么？

Answer 1

我只想说不要使用第三方 API 或包

Answer 2

不要太在意。

如果恶意代理可以访问您服务器的运行时环境，他可能会做任何事情。即使您使用的是 jwt，他也可以轻松获取秘密并对其进行解码。

专注于：

• 在数据库中加密密码（你做得很好）

• 在您和服务器网络上的入口点之间使用 SSL

• 确保只暴露必要的部分，在服务器外部设置防火墙/屏障是一种非常好的做法

• 清理和验证您的服务器输入以避免注入和漏洞利用

Answer 3

无论是 node.js 还是其他用于后端开发的框架，以加密格式传递密码等敏感数据是一种很好的做法。

通常我们更喜欢使用 Json Web Tokens(JWT) - https://jwt.io/

您可以使用https://www.npmjs.com/package/jsonwebtoken对其进行加解密。