日本综合一区二区|亚洲中文天堂综合|日韩欧美自拍一区|男女精品天堂一区|欧美自拍第6页亚洲成人精品一区|亚洲黄色天堂一区二区成人|超碰91偷拍第一页|日韩av夜夜嗨中文字幕|久久蜜综合视频官网|精美人妻一区二区三区

我們還將輸入從表單提交到后端，而且不打算校驗(yàn)/創(chuàng)建/設(shè)置會(huì)話，因?yàn)檫@不屬于本文的討論范圍，而且根據(jù)應(yīng)用程序的目標(biāo)或目的，涉及的內(nèi)容可能很廣泛。

創(chuàng)建后端

接下來，我們將在 Node.js 中運(yùn)行后端，方法是使用 Express 框架和 SQLite 來實(shí)現(xiàn)本文所需的最基本的系統(tǒng)。

 
 
 

  
  
  
const path = require('path') 
  
  
  
const bcrypt = require('bcrypt') 
  
  
  
const bodyParser = require('body-parser') 
  
  
  
const sqlite = require('sqlite') 
  
  
  
  
  
  
  
const express = require('express') 
  
  
  
const app = express() 
  
  
  
app.use(bodyParser.json()) 
  
  
  
app.use(bodyParser.urlencoded({ extended: true })) 
  
  
  
  
  
  
  
const dbPromise = sqlite.open('./database.sqlite', { Promise }) 
  
  
  
const saltRounds = 10 
 
 
 

我們?cè)谶@里執(zhí)行的操作包括：為數(shù)據(jù)庫創(chuàng)建一個(gè) promise，生成一個(gè)鹽，并創(chuàng)建應(yīng)用程序和簡(jiǎn)單中間件來獲取用戶名/密碼，加載一些我們想要使用的庫。

路徑

對(duì)于我們的服務(wù)器將要執(zhí)行的操作，我們將有一個(gè)登錄路徑和一個(gè)供用戶進(jìn)行注冊(cè)的路徑。為了理解系統(tǒng)中正在發(fā)生的事情，我們將這兩條路徑分開了，但它們不會(huì)執(zhí)行任何操作(與會(huì)話/cookie 等相關(guān)的任何操作)。一旦密碼匹配，我們將(非常簡(jiǎn)單地)展示如何對(duì)一個(gè)密碼執(zhí)行哈希運(yùn)算，然后執(zhí)行校驗(yàn)。登錄路徑與注冊(cè)路徑幾乎是相同的，盡管我們會(huì)在該 HTML 表單上檢查電子郵件，但我們不會(huì)在任何路徑上執(zhí)行任何數(shù)據(jù)驗(yàn)證。

 
 
 

  
  
  
app.get('/', async (req,res) => { 
  
  
  
 res.sendFile(path.join(__dirname, '/main.html')) 
  
  
  
}) 
  
  
  
  
  
  
  
app.post('/register', async (req, res) => { 
  
  
  
  const db = await dbPromise 
  
  
  
  
  
  
  
  // check if user already exists 
  
  
  
  const checkUser = await db.get('SELECT * FROM Users WHERE email = ?', req.body.email) 
  
  
  
  if (checkUser) { 
  
  
  
    return res.send('user already exists') 
  
  
  
  } 
  
  
  
  
  
  
  
  const hashedPassword = await bcrypt.hash(req.body.password, saltRounds) 
  
  
  
  const resp = await db.run(`INSERT INTO Users VALUES(?,?)`, req.body.email, hashedPassword) 
  
  
  
  res.send('registered') 
  
  
  
}) 
 
 
 

注冊(cè)路徑檢查用戶是否存在于數(shù)據(jù)庫中，以及我們是否已使用一個(gè)經(jīng)過哈希運(yùn)算的密碼將其插入數(shù)據(jù)庫中。請(qǐng)記住，我們不會(huì)執(zhí)行任何操作來減少 SQL 注入或其他各種形式的攻擊/濫用。如果該用戶不存在，我們會(huì)使用 bcrypt 哈希函數(shù)對(duì)密碼執(zhí)行哈希運(yùn)算，該函數(shù)會(huì)在密碼中添加鹽，因?yàn)槲覀兿螓}提供了運(yùn)算的輪數(shù)。這種哈希運(yùn)算使我們能夠以這樣一種方式存儲(chǔ)用戶的密碼 - 將來，如果用戶輸入了密碼，我們就可以檢查密碼。我們自己無法查找該密碼。另外，我們不應(yīng)將密碼輸出到用戶的日志中，而且我們可能希望能夠使用數(shù)據(jù)庫模型來檢查密碼，并將用戶的密碼保存到哈希值中。

盡管登錄路徑幾乎相同(而且我們可以輕松重構(gòu)此路徑來讓它更 DRY，但在這里提供它是為了便于理解)，但有一行稍有不同：

 
 
 

  
  
  
const passwordMatch = await bcrypt.compare(req.body.password, user.password) 
 
 
 

此代碼使用 bcrypt 將經(jīng)過哈希運(yùn)算的密碼與用戶在前端輸入的密碼進(jìn)行比較，并返回 true 或 false。因?yàn)辂}已合并到哈希值中，所以我們不需要顯式使用它來進(jìn)行比較。下面是要運(yùn)行的完整的 server.js：

盡管登錄路徑幾乎相同(而且我們可以輕松地重構(gòu)此路徑來讓它更 DRY，但在這里提供它是為了便于理解)，但有一行稍有不同：

 
 
 

  
  
  
const passwordMatch = await bcrypt.compare(req.body.password, user.password) 
 
 
 

上面這行使用 bcrypt 將經(jīng)過哈希運(yùn)算的密碼與用戶在前端輸入的密碼進(jìn)行比較，并返回 true 或 false。因?yàn)辂}已合并到哈希值中，所以我們不需要顯式使用它來進(jìn)行比較。下面的代碼清單是要運(yùn)行的完整的 server.js：

 
 
 

  
  
  
const bcrypt = require('bcrypt') 
  
  
  
const bodyParser = require('body-parser') 
  
  
  
  
  
  
  
  
  
  
  
const express = require('express') 
  
  
  
const app = express() 
  
  
  
  
  
  
  
app.post('/register', async (req, res) => { 
  
  
  
  const db = await dbPromise 
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  const hashedPassword = await bcrypt.hash(req.body.password, saltRounds) 
  
  
  
  const resp = await db.run(`INSERT INTO Users VALUES(?,?)`, req.body.email, hashedPassword) 
  
  
  
  res.send('registered') 
  
  
  
}) 
  
  
  
  
  
  
  
  
  
  
  
app.post('/signin', async (req, res) => { 
  
  
  
  const db = await dbPromise 
  
  
  
  const user = await db.get('SELECT * FROM Users WHERE email = ?', req.body.email) 
  
  
  
  
  
  
  
  if (!user) { 
  
  
  
    return res.send('user doesnt exist') 
  
  
  
  } 
  
  
  
  
  
  
  
  
  
  
  
  const passwordMatch = await bcrypt.compare(req.body.password, user.password) 
  
  
  
  if (passwordMatch) { 
  
  
  
  
  
  
  
    return res.send('signed in') 
  
  
  
  } 
  
  
  
  res.send('password does not match') 
  
  
  
}) 
  
  
  
  
  
  
  
  
  
  
  
app.listen(PORT, async () => { 
  
  
  
  
  
  
  
  console.log(`app listening at http://localhost:${PORT}`) 
  
  
  
}) 
 
 
 

現(xiàn)在安裝依賴項(xiàng)：

 
 
 

  
  
  
yarn add bcrypt express body-parser sqlite。 
 
 
 

運(yùn)行服務(wù)器 Node server.js，打開 http://localhost:8080。然后嘗試登錄，創(chuàng)建一個(gè)用戶，并再次登錄。

通過網(wǎng)絡(luò)發(fā)送未加密的密碼!

盡管本文僅展示了如何存儲(chǔ)密碼并對(duì)其執(zhí)行哈希運(yùn)算，而且您不會(huì)保存用戶的明文密碼，但我們?nèi)栽跒g覽器與后端之間發(fā)送明文，因?yàn)槲覀儧]有使用 HTTPS。如果將此示例用在生產(chǎn)環(huán)境中，當(dāng)黑客進(jìn)入此通信渠道時(shí)，他們很容易看到在服務(wù)器與客戶端之間發(fā)送的密碼(包括登錄和注冊(cè)密碼)。有許多不同的方法可用來實(shí)際阻止中間人攻擊，但為了簡(jiǎn)單起見，我們將在 Express 中處理它，生成自簽名 SSL 證書作為示例，以說明此工作原理。請(qǐng)記住，這些證書的簽署方式與從 LetsEncrypt 或其他各種 SSL/TLS 證書提供者獲取證書的方式不同。

首先，我們需要通過包管理器或通過 OpenSSL 的官方網(wǎng)站安裝 OpenSSL。在 macOS 上，如果您已安裝 homebrew，可以簡(jiǎn)單寫入以下代碼：

 
 
 

  
  
  
brew-install Openssl 
 
 
 

接下來，需要運(yùn)行以下命令來生成一個(gè)密鑰和一個(gè)證書：

 
 
 

  
  
  
openSSL req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -days 30 
 
 
 

此命令會(huì)要求您輸入一些信息，但在最后，您將獲得一個(gè) key.pem 和一個(gè) cert.pem。有了這兩個(gè)文件，就可以將以下代碼添加到 server.js 的頂部(請(qǐng)注意，我們現(xiàn)在使用的是來自 Node.js 的 https 標(biāo)準(zhǔn)庫)：

 
 
 

  
  
  
const fs = require('fs') 
  
  
  
const https = require('https') 
  
  
  
  
  
  
  
const options = { 
  
  
  
  key: fs.readFileSync('key.pem'), 
  
  
  
  cert: fs.readFileSync('cert.pem') 
  
  
  
} 
 
 
 

在我們的代碼底部，以前包含以下代碼：

 
 
 

  
  
  
const PORT = 8080 
  
  
  
app.listen(PORT, async () => { 
  
  
  
  const db = await dbPromise 
  
  
  
  await db.run("CREATE TABLE IF NOT EXISTS Users (email TEXT, password TEXT)") 
  
  
  
  console.log(`app listening at http://localhost:${PORT}`) 
  
  
  
}) 
 
 
 

我們將上述以前的代碼更改為：

 
 
 

  
  
  
const PORT = 8081 
  
  
  
https.createServer(options, app) 
  
  
  
  .listen(PORT, async () => { 
  
  
  
    const db = await dbPromise 
  
  
  
    await db.run("CREATE TABLE IF NOT EXISTS Users (email TEXT, password TEXT)") 
  
  
  
    console.log(`app listening at https://localhost:${PORT}`) 
  
  
  
  }) 
 
 
 

此刻，我們將僅使用 HTTPS 并將加密后的密碼發(fā)送到服務(wù)器，而且會(huì)在將密碼保存到數(shù)據(jù)庫時(shí)執(zhí)行哈希運(yùn)算。

最糟的情況：數(shù)據(jù)庫被泄露

設(shè)想我們的服務(wù)器被黑客攻擊，或者出現(xiàn)了其他一些漏洞，而且我們的 SQLite(或任何數(shù)據(jù)庫)被泄露。盡管這種情況很糟糕，但我們至少可以確信，用戶密碼本身應(yīng)該是安全的，不會(huì)被使用，而且我們最大限度降低了從其他地方要求用戶更改密碼的可能性。 例如，圖 1 顯示，除非看到用戶 graham@test.xyz 的密碼 secret，否則哈希值對(duì)嘗試使用它的黑客毫無用處。

結(jié)束語：其他替代性云安全方法