突然想到的一个密码方案理论,各位补充下.
1 独立内网隔离机器做密码服务器,只提供内网机器申请比较密文和插入key操作,不连接上外网,其它操作需要真机本地操作.
2 注册时用户给key保存到密码服务器.
3 登录时密码服务器给随机码返回到浏览器,同时生成密文缓存,且设过期时间,待比对,在浏览器中用户输入key利用js生成密文发回密码服务器验证.
4 申请验证时,密文不对就提示密码不对了.
[解决办法]
用明文保存密码，是对用户不负责任的！
因为只要能接触线上环境的程序员，都能看到密码。好奇心谁都有。
保存格式 md5('密钥+用户密码') 如md5('My@csdn'+'123456')把这样加密后密文保存到数据库,根本不用担心密码泄漏的问题。真的很鄙视csdn
[解决办法]
楼上的要镇定……
[解决办法]
可以模仿现在的一些API的授权方式，在客户端对输入的敏感数据加时间戳后再发送。
