sessionStorage中的密碼

Question

我有一個單頁AngularJS應用程序，並且不使用cookie通過websockets對我的網站進行身份驗證。 這意味着刷新將使用戶注銷。 將密碼存儲在sessionStorage上有多糟糕，以便它們可以在會話期間刷新？ （用戶名將位於localStorage中，並且我不希望完整的登錄在會話之間得以保留）。

謝謝！

編輯：

我更感興趣的是，以這種方式存儲是否存在任何實際的安全風險。 是否比Chrome以明文形式存儲密碼或未加密Cookie的方式安全性低？

Answer 1

您是要避免本地存儲，還是只是避免使用cookie？

您可以將會話ID存儲在會話存儲中，並使用該ID驗證用戶身份，但在任何情況下我都不會存儲用戶密碼明文。

Answer 2

我認為您不想存儲密碼。 您可以生成一個會話令牌並將其存儲在sessionStorage中。 無論如何，如果您要自己存儲密碼，請不要將其存儲為純文本格式。

Answer 3

您要做的是...在服務器上創建一些哈希，然后將其保存在localStorage上。

在每個請求上發送此哈希，服務器應驗證/處理它，並使用適當的憑據進行響應。

但這也“不如您希望的那樣安全”，因此...您可以每隔X分鍾更改一次哈希，或者在X分鍾無活動后使哈希超時。

永遠不要存儲純文本密碼，也不要在客戶端包含哈希算法。