纯文本密码和“记住我”，node.js 和 js 客户端

Question

我试图在我的 node.js（使用 passport.js）和客户端（纯 JavaScript）Web 应用程序中了解更多的安全性。但我对网络编程很陌生。

我已经实现了LocalStrategy，没关系。要访问某些 api，我必须以普通帐户登录，或者在其他一些帐户中以管理员身份登录。

我正在使用浏览器身份验证对其进行测试（仍然没有“记住我”功能，因此每次我必须重新输入密码）并且我正在使用 curl 进行测试：

curl --cookie-jar jarfile --data "username=admin&password=pass" http://localhost:5000/login
curl --cookie jarfile "http://localhost:5000/api/admin"

现在，按照“预期更糟”的范式，我想受到一点保护，免受中间人攻击，所以我不想发送纯文本密码：我必须加密浏览器中的密码（sha256），发送并存储/比较哈希密码。

1. 我不明白的是 salt 的东西。什么用的比较多 图案？在服务器中生成并发送到登录页面？如何用curl 测试它？它必须总是不同的吗？用户必须在登录表单中插入它？
2. “记住我”这件事怎么样？我真的不明白这一点：我是否必须在浏览器中存储一个带有用户名、加密密码和盐的 cookie？为什么“记住我”的实现在服务器端？不应该在客户端吗？

抱歉，我没有在网上找到任何可以用 node.js 和 passport.js、纯 javascript 客户端和 curl 测试（我非常关心使用 curls 进行测试）来清楚解释这些概念的内容。

Answer 1

用 node.js 和 passport.js 解释这些概念

这些概念不依赖于特定的运行时或框架，因此网络上的材料不引用 node.js 和 passport.js 是有道理的

1. ...盐的东西

Salt 是一个字符串，使破解密码变得更加困难。您应该为每个用户使用不同的盐。我经常看到的是盐的使用只与服务器有关。客户端以明文形式发送密码，服务器使用盐对其进行哈希处理。因此它不会影响使用curl 进行的测试。如果攻击者可以单独使用加盐哈希登录（因此不需要知道原始密码），那么盐和哈希的用处就会降低。

2。 ...“记住我”的事情

通常不是为每个请求传输凭据，而是有一个单一的“会话 ID”类型的令牌。服务器维护状态以将会话 ID 与用户记录相关联，从而“记住”用户已登录。将密码存储在 cookie 中并不常见。

每次我处理登录时，我都必须存储一个会话 ID 并将其发送给客户端？然后客户发回给我？

很多网站都是这样做的。不过我想还是有变化的空间。

curl --cookie-jar jarfile --data "username=admin&password=pass" http://localhost:5000/login 实际上将用户名和密码存储在 cookie 中，不是吗？

它将用户名和密码发送到服务器，服务器可以响应它想要存储在 cookie 中的任何数据。如果服务器将用户名和密码作为 cookie 发回，那么是的。如果它发回一个会话 ID，那么不会。