MVC 密码最佳实践

Question

我有一个登录表单，其中包含一个用于密码的剃须刀字段。 我的网站在 https 上。

一切正常，直到有人在基本控制器的 OnException(ExceptionContext filterContext) 下添加此代码：

        string[] keys = filterContext.HttpContext.Request.Form.AllKeys;
        var valueMap = new List<KeyValuePair<string, string>>();
        foreach (var key in keys)
        {
            valueMap.Add(new KeyValuePair<string, string>(key, filterContext.HttpContext.Request.Form[key]));
        }

        if (valueMap.Any())
        {
            sb.AppendLine("POST Parameters : ");
            foreach (var keyValuePair in valueMap)
            {
                sb.AppendLine(string.Format("   - {0} : {1}", keyValuePair.Key, keyValuePair.Value));
            }
        }

然后向支持人员发送一封包含字符串生成器内容的电子邮件。 密码已包含在邮件中。

我不希望这种情况再次发生。

什么是最好的解决方案？ MVC4 中是否有内置的东西来处理这种情况？ 我必须在表单上使用 JS 密码加密吗？

Answer 1

不，不要在表单上添加加密，这样做需要您在使用之前解密数据，这仍然不能真正解决您关心的问题。我建议您修改该异常处理程序以跳过密码字段。如果您的网站接受信用卡，您可能也希望对这些字段进行类似的处理。