简单的异或消息（Javascript/Tcl）？

Question

我需要在通过 HTTP GET/POST 发送之前在客户端对用户名/密码进行加扰。服务器将在检查数据库之前使用 Tcl 对其进行解码。

目前我正在考虑在客户端使用 JavaScript。 Java Applet 也可以。

有什么方法可以使用简单异或或任何其他方法轻松实现它？ （示例将不胜感激）

我在 C/Python/.NET/Java 中找到了一些示例...但在 JavaScript 和 Tcl 中没有找到。

遗憾的是，SSL 不是一个可用的选项。

Answer 1

如果 ssl 不是一个选项，那么我建议使用以下方案，许多站点都使用该方案来代替 SSL：

1. 在客户端，组合用户名和密码，然后从中计算哈希值（MD5 是一种流行的选择）。
2. 将用户的名称和哈希值发送到服务器
3. 在服务器端，从数据库中检索该用户的密码。
4. 根据用户名和密码，计算哈希值并将其与客户端的哈希值进行比较。如果两者匹配，则密码匹配。
5. 为了增加安全性，请在用户+密码组合中添加一些随机文本。这个随机文本，又名“盐”，必须在客户端和服务器端都知道。

以下是关于如何使用 MD5 计算哈希值的建议：

package require md5

proc calculateHash {user password salt} {
    return md5:md5 -hex "$user:$salt:$password"
}

如何使用它：

set user "johnny"
set password "begood2mama"
set salt "myDog_is_meaner_than_yourDog"

set hash [calculateHash $user $password $salt]

Answer 2

superNobody，

您应该考虑在数据库中存储纯文本密码的替代方案。请参阅：

• http://www.codinghorror。 com/blog/2007/09/youre-probable-storing-passwords-in Correctly.html

您应该考虑在 Javascript 中进行 SHA1 哈希，而不是在 Javascript 中对密码进行编码，然后在 Tcl 中解码密码以与数据库进行比较，并将 SHA1 哈希值存储在数据库中。

javascript 中有几个可用的 SHA1 哈希函数示例（仅 Google 'sha1 javascript'）。 tcllib Tcl 库具有 SHA1 支持。

正如 HaiVu 提到的，您还应该考虑散列/存储不仅仅是直接的密码散列，而是使用 SHA1（用户名 + 网站名 + 密码）之类的东西。您可以在客户端用 Javascript 计算此值，并将其存储在数据库中。