android 上，大家有用 BCrypt 算法给用户密码加密的么？ help！！！！

[stewforani]

大家有在 android 客户端给用户密码用 bcrypt 加密的么？我拷了 bcrypt 的 java 源码，但是加密很耗时，有什么好办法减少加密时间么？

[jarlyyn]

@lslqtz

我的意思是，登录的时候用加密的

登录好后换 token,之后都用 token 啊。

你不可能所有用户都同时需要登录吧？

5/10 天登录一次，慢点也无所谓吧？

[spongebobsun]

https://github.com/PuffOpenSource/Puff-Android

可以参考下 https://github.com/PuffOpenSource/Puff-Android/blob/master/app/src/main/java/sun/bob/leela/runnable/CryptoRunnable.java 这个

其他代码有点乱，还没时间重构……

我觉得我这个项目是滥用 EventBus 的教材…………(´･Д･)」

[spongebobsun]

@spongebobsun 楼主请忽略我…我这个并没做优化…可以考虑 c 实现然后 jni

[lslqtz]

@jarlyyn 也看并发来着。。
像是大网站之类的

[klesh]

@lhbc 服务端拿到明文后是 hash 后再对比，原则上一个正常的系统不应该存储明文。所以你说的运营人员能接触到这中间的明文我想他们得种马才能达成吧？若运营人员都能在服务器种马了，那你要担心的可远远的不止所谓的明文密码了吧。再说这个运营已经有无限权限了，套出客户明文密码并非难事！
再退一步说，登录成功后你要不给 token 要不 cookie 。若不上 https ，你怎么解决重放的问题？

[lhbc]

@klesh
1. 我没有说过不上 https
2. 运营跟运维不是一个岗位，也不是一个团队

[lslqtz]

@klesh
用真实 IP 做 token 呢？