在Python中保护HTTP请求

Question

Bottle仅提供基本身份验证，这似乎没问题，因为摘要身份验证不是非超级身份验证。但是什么呢？我想到了：

• 在发出请求之前使用BCrypt加密用户名和密码

但这是否有意义，或者我应该放弃这个想法，只是使用HTTPS（SSL）建立安全的HTTP连接并完成它？

Answer 1

为什么要打扰？

哈希密码客户端提供了一个额外的好处，即密码本身不是以明文形式发送的（所以它没有透露），

但是，它并不能阻止窃听者伪装成他获得密码的用户。

您应该使用HTTPS。

这是最可靠（也简单！）的解决方案。

另外，您将获得HTTPS的额外好处：

• 没有窃听您的任何通讯（不只是登录！）
• 没有篡改
• 服务器身份验证，其视觉“绿色锁定”对应（您的用户可以欣赏）。

---

作为安全和加密的一般经验法则，您应始终坚持标准。