处理Web应用程序的身份验证

Question

以纯文本形式发送用户名和密码，但通过HTTPS发送； 然后在服务器哈希（盐+密码）上进行比较，并将其与数据库中的哈希进行比较。 （盐是每位用户）

做得对？ :)

干杯

PS：我认为我使用的是Ruby / Sinatra，可以通过lighttpd进行投放。

Answer 1

这实际上取决于您的威胁模型。 HTTPS容易受到中间人攻击，因此，如果希望将网络钓鱼作为威胁，则最好改进身份验证协议。