基于AJAX的服务的身份验证协议

Question

我们目前正在构建新服务，其目的是将PHP用于后端，更重要的是，对前端使用AJAX而非常规HTTP请求。 因此，将只有一个初始页面请求。

这样做时，我们还要确保它的安全性。

所以问题是这样的：登录基于常规的用户名/密码。 AJAX前端将根据需要向服务器发出AJAX请求，但是应该采取什么措施以避免不必要的安全问题？ 散列密码显然是一种，可以通过在散列中包含服务器生成的令牌等来进一步改进。

但是，我确定已经为这些事情建立了协议，但是我真的不知道它们的优点……甚至不知道它们的名字或在哪里找到它们（请注意，服务器本身是受信任的）。

使用HTTPS是否会使所有这些多余？ 还是例如仍然严格要求对密码进行哈希处理（理论问题）？ 通过HTTPS使用协议是否仍然很重要/有用/毫无意义？

http://en.wikipedia.org/wiki/Secure_Remote_Password_protocol ，我应该研究一下吗？ HTTPS是否会使SRP冗余？ 是否有更合适的协议，尤其是通过HTTPS？

Answer 1

如果您使用PHP会话，则应该没问题。 当您进行AJAX调用时，将从您的页面向服务器发送Cookie负载，以指示其对应的会话ID。 显然，通过HTTPS进行此操作可确保通信安全。