关于用户密码安全的问题

[XiiLii]

为了保护用户密码，我知道服务器存储用户密码的方式是加盐后再哈希。 但是问题是服务器是需要获取用户明文密码后再进行处理的，如果服务器被黑客控制（不管通过什么方式），修改了代码，将用户登录后的明文密码窃取了下来，那么用户的密码就不安全了。（不讨论如何加强服务器的安全措施）。 可不可以在浏览器端就对用户的密码进行哈希加密？服务器只对这个哈希密码进行再加盐哈希存储。 这里又有个问题，就是用户输入密码后，生成的哈希值必须相同，否则服务器就无法验证了（或者有没有一种密码哈希算法支持这种不同密码的验证？），但这就给彩虹表攻击提供了机会，当然用户的密码也可以先加盐再哈希，但如果黑客连这个盐值也获取了，重新制作彩虹表也是可以的。 我想问下有没有更好的方案防止用户密码泄露？

[XiiLii]

@stamhe 同步到云端确实不安全，但如果不同步到云端，一旦用户的设备丢失，那么这些用 PassKey 登录的平台就无法登录了吧，除非这些平台强制要求附加其它登录方式，比如手机、邮箱，换设备后再重新添加新设备的信息、删除旧设备。这些操作对于我们来说可能不负责，但对于普通用户可能麻烦些。如果系统能通过同步一键把这些事情都用户都处理了，确实方便些。就是不知道实际的安全性。请问你们公司是如何解决用户设备丢失的问题呢？

[XiiLii]

@XiiLii 同步到云端确实不安全，但如果不同步到云端，一旦用户的设备丢失，那么这些用 PassKey 登录的平台就无法登录了吧，除非这些平台强制要求附加其它登录方式，比如手机、邮箱，换设备后再重新添加新设备的信息、删除旧设备。这些操作对于我们来说可能不复杂，但对于普通用户可能麻烦些。如果系统能通过同步一键把这些事情都帮用户处理了，确实方便些，就是不知道实际的安全性。请问你们公司是如何解决用户设备丢失的问题呢？

[stamhe]

@XiiLii 我们能够让用户很方便的保管私钥。