请教一下关于 password_hash 的密码安全问题

[muziyue]

由于 password_hash 只能用 php 验证，那客户端提交是不是用要配合 https 才行
如果没 https 的情况下， js 本地加密一下再 post 给 php 验证这样安全么？没用过这种加密，是不是应该这样用

[JamesRuan]

@xurubin 不懂呗。
安全其实是个无底洞，抛开应用谈安全都是耍流氓。

[JamesRuan]

@maxsec password_hash 还引入了“代价”，生成 hash 需要大量的 CPU 和内存，使得暴力破解的变得非常不经济。

[param]

从服务器传个 token 下来浏览器，提交的时候拿 token 当做盐来算 md5 。登录成功后这个 token 便失效，这样避免重放攻击。
但要劫持的话，可以直接给你加一段 JS ，让密码先提交到他的网站，这段 JS 甚至还能在各个网站通用，完全不需要人工劫持。