twitter 到底干了嘛？怎么会出现用户明文密码

[iConnect]

用户密码不是应该只保存 hash 过的吗？

[gy911201]

@swulling 二次 hash 会降低值域，安全性会下降

[gy911201]

Bcrypt 是目前非常适合用来 hash 密码的算法……还是建议用这个……而不是自己造轮子…………

[swulling]

@gy911201 Twitter 就是用的 bcrypt，但是和这次是两回事。另外值域缩小对密码来说不是什么问题。


@treo 所以两次啊，javascipt 一次，服务端一次。

[swulling]

@xy90321 你还真别说，打到 console log 里没啥风险。。

[julyclyde]

@swulling 多次 hash 会缩小定义域，降低安全性

[Telegram]

前面几位感觉有点跪舔了，密码明文就是明文，一视同仁的喷就对了，别说什么比国内透明。
就算是日志里出明文，也不能让我理解。
为啥不能前端先 hash 一次，然后提交到服务器，后端你再要怎么加密都没问题。

[20015jjw]

@Telegram 国内这方面几乎为 0 的透明度还是得喷啊

[agagega]

还是 Dropbox 的会玩。第一步 SHA 把长度统一，第二步 Bcrypt，第三步用一个全局密钥 AES 加密以防泄漏。

[param]

所以前端應該在提交之前先哈希一遍

[param]

@geeklian 即使是 6 位數字，也可以加鹽解決問題