Photobucket很可能是明文保存密码的

[ayanamist]

http://img.ly/563V
看以上img.ly的截图。居然很挑剔密码，还不能包含一些特殊字符以及以0开头。非常怀疑是明文保存密码的，否则这么多要求干嘛。
大家注册的时候小心点啊

[statm]

有点矛盾...
明文保存，防止注入->禁止特殊字符
加密保存，防止暴力破解->禁止以0开头

[ayanamist]

@statm 禁止以0开头和明文保存并不冲突，例如给这个列加了索引。

[9hills]

这个推论很不靠谱阿。。。

你说是加个md5()方便呢，还是写个js来判断特殊字符方便呢。。。

[lainuo]

这....如果不是前端JS做的验证; 在后端也是很容易的...

比如, 在Rails里, 只要在用户的那个model里的加个"validates_format_of"到密码上就可以了...

[lainuo]

额...我应该是理解错楼主要表达的意思了...囧...

不过应该不会用明文保存, 百害而无一利. 不允许空格大概是因为没有密码确认, 要防止用户多打空格; 禁用特殊字符就有些没必要了. 至于0开头...难道真是为了防止暴力破解...

[ayanamist]

@9hills 是啊，问题是他们为什么调了复杂的方法呢？除了保存明文还有什么解释呢？
@lainuo 你们解释不出来吧。拿到用户密码好处很多的哦～

[9hills]

@ayanamist 就算要拿用户密码。。。为啥非要设不允许特殊字符？
直接存一份不就完了。。。难道你以为用户数据库用md5保存就拿不到密码了？md5之前把密码copy一份很难么。。

[ayanamist]

@9hills 那你给个合理解释，为什么禁用那么多特殊字符？

[lainuo]

合理解释就是做这网站的这帮人一知半解. 拿用户密码干嘛还费这个劲...

[istef]

@ayanamist 合理解释就是，美国类似的二网站多的是，比如 bank of america, 比如 AT&T。。。。。既然二过了也就习惯了

[ayanamist]

@istef @lainuo 我本来是用LastPass自动生成密码的，选了12位包含全部特殊字符的方式，结果居然通不过……

[istef]

@ayanamist 同 LastPass 纠结。。。只能给它弄个简单的密码了。。。。
当然有个听起来略微合理的解释，早期开展互联网业务的这些公司的网站通常有这个问题，photobucket 其实起步也是很早了。。。。

[ayanamist]

@istef 比它早但没这个设定的网站多的去了……