是否可以将用户电子邮件地址和密码存储在标准Mongo Collection中？

Question

我正在创建一个需要帐户的应用程序，但我发现Node.js的所有帐户管理框架都太复杂了。将用户信息存储在常规集合中是不是一个坏主意？我该怎么做才能最大限度地提高安全性？ I.E.加密。您会推荐什么作为此用户管理的策略？

Answer 1

不，永远不要保存密码，哈希并保存哈希。唯一安全的解决方案是永远不要在服务器上保存密码。

哈希函数应该类似于PBKDF2，这是一个盐渍哈希迭代函数，这是一个耗时的单向函数。

还需要在服务器上进行双因素身份验证。