Android自动认证机制

Question

我正在开发一个将连接到服务器Web服务并交换数据的应用程序。 我想在应用程序中包括自动身份验证机制。 我并不是非常擅长安全方面的工作，所以我想问你如何正确地做。 我认为，将用户密码存储在sharedpreferences或数据库中，并将其与服务器中存储的密码进行比较不是一个好主意，即使是加密形式。 我猜有更好的方法了，对吧？

Answer 1

通常，服务将返回某种类型的密钥（通常在cookie中），并且您在随后的每个请求中都传递该密钥。 服务器负责跟踪谁拥有什么密钥。 当然，密钥很大，因此难以猜测。

在服务器端，永远不要存储密码。 您存储密码的哈希，然后当登录请求收到输入密码时，您对它进行哈希并比较哈希。 更好的是，您也应该对哈希值加盐。 如果您不熟悉安全性，那么我建议您使用现有的库而不是编写自己的库。