将用户名 + 加密密码发送到 RESTful 服务

Posted 2023-02-27

【中文标题】将用户名 + 加密密码发送到 RESTful 服务

【英文标题】：Sending user name + encrypted password to a RESTful service

【发布时间】：2012-10-20 07:34:28

【问题描述】：

在我的应用程序中，我使用带有 javascript 客户端的 Spring MVC。现在是我需要向我的应用程序添加 4 眼验证表单的时候了。也就是说，必须有第二个人过来并输入他的用户名和密码，以验证某种敏感数据更新。然后系统将根据企业 LDAP 检查该人的用户名和密码，然后返回成功或失败。如果该人的身份验证失败，系统将通知用户无法删除/添加。如果成功，系统将执行更新。

我的问题是，既然所有的服务都是 RESTful 的，我怎样才能以最安全的方式实施这样的解决方案？我听说应该不惜一切代价避免使用 JavaScript API 加密密码并通过网络发送密码，因为任何中间人攻击都可能造成严重破坏。 我也不想使用 HTTPS，它只能用于代表我应用程序的 1% 的表单的目的。我应该去 Spring Security 吗？如果是这样，我如何将 Spring Security Web 表单集成到 JavaScript 框架中？任何想法或经验都将受到欢迎。

最好， 吉米

【参考方案1】：

如果安全是一个问题，我会重新考虑你的“不想通过 https 和 ssl 来做”。

【参考方案2】：

考虑挑战-响应机制。不会交换密码。