@SkyWatcher 是會通過的,這種情況下不使用 HTTPS 是無解的。
文中提到的解決方案只是能做到即使拿到了 hash ,也拿不到用戶的真實用戶名和密碼。
現在國內大部分網站在前端都是沒有加密的,這可以理解。就像你說的,拿到 hash 也可以登陸,除此之外,拿到 cookie 也可以登陸,所以從這個角度講前端加密的意義并不是很大,這樣做只是防止中間人直接構建出一個明文密碼庫了。
驗證用戶密碼這件事本篇經與 @Gnnng, @pollow 討論、查資料,在 MSTC 群中請教討論總結而成。 我們都知道,數據庫里不能儲存用戶密碼的明文,那怎樣存儲才是最科學的呢? 為什么不...