关于密码加密的问题

Question

老师，关于密码加密我自己查了一下，发现前端加密传输给后端后，只要被截取到加密密文，感觉好像都能通过验证吧，哪怕在密文中加盐好像也没多大用处，我能想到的就是在加密的密文中添加有时效性的信息，比如验证码，发送给后端后，后端进行验证后删除验证码，再次使用密文就无效了，是这样吗？

Answer 1

西一凹 8天前

在一般情况下，加盐加密来说传输已经能解决绝大部分问题，更重要的是去防止捣乱的人，非要较真来说的话，世界上没有任何密码是破解不了的，只是需要花费多少时间的问题，只要接入互联网，都有泄露的风险，但是，不是所有人都是顶尖高手，什么阶段的项目可以搭配什么样的技术手段，如果别人觉得你加密的信息有价值，才会花时间去破解，而这个项目加密的信息，都值得别人花大量时间去破解了，那么想必那时候，也不是需要这么简单的加盐算法去加密信息了，所以这里更多的是去给大家提供这样一种思路，同学打可不必在现阶段太过纠结加密的手段。

• 西一凹 #1

  至于你提到的 验证码也是可行的方案，但是，要考虑几个问题，在你说的这种情况下，验证码是需要后端进行动态存储的，那么，如果大量用户的基数下，每个请求都需要存储这些信息的话，性能将会有一定的影响，还有就是，如果这个验证码较短，那么使用一段时间后，就会出现重复，那么就更容易爆破。如果是永不重复的密码，那得很长，至少是 以毫秒级时间戳为基础，那么，传输效率也会变差，
  
  而且，因为是前端 提交数据，那么，这个验证码是前端生成，那么只需要找到生成验证码的代码就行，并且，如何将正确并安全的验证码告诉后端，也是一个难题
  
  如果是 后端事先生成，那么，你通过接口返回给前端，那么，就是更加无意义的了

• 西一凹 #2

  所以，前端加密， 主要争对两类
  1、用户调试你的代码，找到你的盐，那么，就是为了增加他的调试成本，从而迫使一些人放弃调试
  2、第三方抓包你的数据，那么，这类就只能去 爆破你的盐，这个就会增加巨量的时间成本，那么就会回到我最开始说的，“值不值得”的问题上去了