环回密码加密与导轨AES密码相对应

Question

我们有一个使用rails开发的现有应用程序，但我们正在迁移到环回。我们面临的问题之一是密码的加密方法不同。我们使用AES加密方法，而loopback使用bcrypt。我有两个问题

1. 哪种加密（AES或bcrypt方式）更好
2. 如果我们要实施bcrypt，那么从Web和API登录是否一致。我知道我们用过盐（基本的）。

请建议。

谢谢， 拉吉

Answer 1

AES对密码存储没有多大意义：它是一种加密算法（不是散列算法）。对于存储密码，总是无论如何都要使用bcrypt。

您也不想使用您的用户名/密码登录API（例如：bcrypt）。您希望专门为API用户生成API密钥（随机uuids）以进行身份​​验证 - 这样可以降低公开泄露用户凭据（用户名/密码）的风险，这可能会导致严重漏洞。