检查用bCrypt加密的密码..我是否需要通过线路发送密码？

Question

我目前正在考虑使用bCrypt来加密项目中未来用户的密码。

它看起来非常强大，但这是我的关注 -

• 在网站上，创建一个帐户。服务器将bCrypt您的密码并存储其哈希值。 test - ＆gt; $2a$12$4PhCN62AmALB7e.Sv2w9w.AP/JZ28l.dZldU5iHyupY2w5wPz9o.u
• 现在要检查您的密码，只需检查BCrypt.Net.BCrypt.Verify("test", "$2a$12$4PhCN62AmALB7e.Sv2w9w.AP/JZ28l.dZldU5iHyupY2w5wPz9o.u")的返回以确保匹配。

如果使用客户端应用程序使用此Web服务器以及相同的数据，是否需要通过网络发送密码以使服务器与其有效性相匹配？让客户端请求哈希是否可行，并让服务器将其发送给客户端，这样客户端可以进行哈希并验证它吗？

Answer 1

您可以使用SSL（例如https）阻止通过网络发送明文密码。密码将是纯文本，但连接是安全的，只有服务器和客户端才能解码该连接中的信息。