node中的密码安全(加密)

程序员文章站 2022-03-22 11:36:55

本文将讲解对于前后端分离的项目，前端注册或登录时如何保证用户密码安全传输到server端，最终存入数据库为什么需要加密加密真的有必要吗？我们先来看一看前端发...

本文将讲解对于前后端分离的项目，前端注册或登录时如何保证用户密码安全传输到server端，最终存入数据库

为什么需要加密

加密真的有必要吗？

我们先来看一看前端发起的ajax请求中，如果不对密码进行加密，会发生什么。

f12打开chrome开发者工具，找到请求，查看请求参数如下：

node中的密码安全(加密)

如果你的协议是http，那么前端传给后端的密码差不多是裸奔状态，因为http传输的是明文，很可能在传输过程中被窃听，伪装或篡改。

那么，弄个https不就好了吗？

https的确能够极大增加网站的安全性，但是用https得先买证书（也有免费的），对于个人站点或者不想弄证书的情况下，那最起码也得对用户密码进行一下加密吧。

流程图

先看一下大体流程图，首先，我们用工具生成公钥和私钥，将其放入server端，前端发起请求获取公钥，拿到公钥后对密码进行加密，然后将加密后的密码发送到server端，server端将用密钥解密，最后再用sha1加密密码，存入数据库。

node中的密码安全(加密)

生成rsa公钥和密钥

既然选择rsa加密，那么首先得有工具啊，常见的有，但这里不介绍，感兴趣的请自行查阅，对于node而言，我介绍一个不错的库node-rsa，我们将用它来生成rsa公钥和密钥。

rsa是一种非对称加密算法，即由一个密钥和一个公钥构成的密钥对，通过密钥加密，公钥解密，或者通过公钥加密，密钥解密。其中，公钥可以公开，密钥必须保密。

用node-rsa生成的公钥和密钥代码如下：

const nodersa = require('node-rsa')
const fs = require('fs')

// generate new 512bit-length key
var key = new nodersa({b: 512})
key.setoptions({encryptionscheme: 'pkcs1'})

var privatepem = key.exportkey('pkcs1-private-pem')
var publicder = key.exportkey('pkcs8-public-der')
var publicderstr = publicder.tostring('base64')

// 保存返回到前端的公钥
fs.writefile('./pem/public.pem', publicderstr, (err) => {
 if (err) throw err
 console.log('公钥已保存！')
})
// 保存私钥
fs.writefile('./pem/private.pem', privatepem, (err) => {
 if (err) throw err
 console.log('私钥已保存！')
})

执行完成后，我们将在根目录下得到公钥和私钥文件：

node中的密码安全(加密)

注意：server端的公钥和密钥应该隔一段时间换一次，比如每次服务器重启时。

前端加密

核心代码如下：

 <script src="https://cdn.bootcss.com/jsencrypt/2.3.1/jsencrypt.min.js"></script>
 <script src="https://cdn.bootcss.com/axios/0.18.0/axios.min.js"></script>
 <script>
  function reg() {
   axios({
    method: 'post',
    url: 'http://127.0.0.1:3000/getpublickey'
   })
    .then(res => {
     let result = res.data

     // 从后端获取的公钥 string
     var publicpem = result
     // 用jsencrypt对密码进行加密
     var encrypt = new jsencrypt()
     encrypt.setpublickey(publicpem)
     var password = 'abc123'
     password = encrypt.encrypt(password)

     axios({
      method: 'post',
      url: 'http://127.0.0.1:3000/reg',
      data: {
       password: password
      }
     })
      .then(res => {
       let result = res.data
       console.log(result)
      })
      .catch(error => {
       console.log(error)
      })
    })
  }
 </script>

前端将用到对其进行加密，详细用法请参考github。

后端解密

后端核心代码：

const express = require('express');
const crypto = require('crypto');
const fs = require('fs');

var privatepem = fs.readfilesync('./pem/private.pem');

var app = express();
app.use(express.json());

// cors 注意：要放在处理路由前
function crossdomain(req, res, next) {
 res.header('access-control-allow-origin', '*');
 res.header('access-control-allow-headers', 'content-type');

 next();
}
app.use(crossdomain)

app.use(function (req, res, next) {
 // 不加会报错
 if (req.method === 'options') {
  res.end('ok')
  return
 }

 switch (req.url) {
  case '/getpublickey':
   let publicpem = fs.readfilesync('./pem/public.pem', 'utf-8')
   res.json(publicpem)
   break
  case '/reg':
   // 解密
   var privatekey = fs.readfilesync('./pem/private.pem', 'utf8')
   var password = req.body.password
   var buffer2 = buffer.from(password, 'base64')
   var decrypted = crypto.privatedecrypt(
    {
     key: privatekey,
     padding: crypto.constants.rsa_pkcs1_padding // 注意这里的常量值要设置为rsa_pkcs1_padding
    },
    buffer2
   )
   console.log(decrypted.tostring('utf8'))

   // sha1加密
   var sha1 = crypto.createhash('sha1');
   var password = sha1.update(decrypted).digest('hex');
   console.log('输入到数据库中的密码是: ', password)
   // 存入数据库中
   // store to db...
   res.end('reg ok')
   break
 }
})

app.listen(3000, '127.0.0.1')

这里，我是用node自带模块crpto进行解密，当然，你也可以用node-rsa的方法进行解密。

最后

我们再来看一看前端请求的密码信息：

node中的密码安全(加密)