課件35防御手段變換復(fù)雜度要求

密文-明文無法反推密文固定長度md5sha1前端加密意義有限-傳輸層加密不會但不代表不能登錄md5 ////constcrypto=constmd5=str=>hash('md5',str)constsha1=str=>constencryptPassword=(salt,password)=>md5(salt+'abced@#4@%#$7'+password)constpsw='123432！@#！@#@！#'console.log('md5',md5(psw))console.log('sha1',sha1(psw))////constencryptPassword=require('./password')if(res.length!==0&&res[0].salt===null)console.log('nosaltif(password==={sql=updatetest.usersetsalt=?,password=?whereusername=?`constsalt=Math.random()*99999+newres=awaitquery(sql,[salt,encryptPassword(salt,password),username])ctx.session.username=ctx.request.body.username }}elseconsole.log('hasif(encryptPassword(res[0].salt,password)==={ctx.session.username=ctx.request.body.username }}$$('.verify-code （服務(wù)端保存隨機(jī)摳圖位置坐標(biāo)）風(fēng)控信息(滑動行為頁面行為https和 .html瀏覽器如何驗(yàn)證 插入重定向到其他(JS和Head頭Chrome和火狐瀏覽器將對不采用HTTPS加密的提示不安全(防泄密學(xué)對稱加密的一大缺點(diǎn)是密鑰的管理與分配，換句話說，如何把密鑰發(fā)送到需要你的消息的人的手里是一個問題。在發(fā)送密鑰的過程中，密鑰有很大的風(fēng)險會被們?，F(xiàn)實(shí)中通常的做法是將對稱加密的密鑰進(jìn)行非對稱加密，然后傳送給需要它的人。-計算復(fù)雜對性能有影響(情況下1000倍常見算法RSA（大質(zhì)數(shù)）、Elgamal、背包算法、Rabin、D-H、ECC（橢圓曲線加密算法）。 /blog/2013/06/rsaalgorithmpart | | o@=+O| B=+o@| =So*| .o.=| |||||scp~/.ssh/id_rsa.pubcatid_dsa.pub>>+信信在Windows下按Windows+R,輸入certmgr.msc，在“受信任的根頒發(fā)機(jī)構(gòu)”-“中”找到“ROOTCA”，截串 /post/https-ssl-tls.htmlHTTPS修改開發(fā)機(jī)的host開發(fā)機(jī)的hosts/etc/hosts#添加阿里云取得的真實(shí)（docker模擬nginx##安全課程根version3.1'image:nginx--##server location/ indexindex.html}}serverlisten443;sslon;root#公鑰+私鑰_keyssl_session_timeout5m;ssl_ciphersECDHE-RSA-AES128-GCM-ssl_prefer_server_cipherson;location/{root}}增加httphttps##conf.dserver#location/ indexindex.htmlindex.htm;#}location/rewrite^(.*)}/$1}級DVSSL-有效無門helmet英[?helm?t]/package/koa- ：MM來確定響應(yīng)的類型，轉(zhuǎn)而使用明確的e //npmikoa-helmet-constKoa=constapp=newKoa();app.use((ctx){ctx.body=" 對于 的安全使用，其重要性是不言而喻的。特別是對于動態(tài)的eb應(yīng)用，在如TTP樣無狀協(xié)議之上，它們需要使用 來維持狀態(tài)secure-這個屬性告訴瀏覽器，僅在請求是通過HTTPS傳輸時，才傳 HttpOnly-

-這個屬性用來比較請求URL中服務(wù)端的。如果匹配成功，或這是其子，則繼續(xù)檢 path-除了 可用的URL路徑也可以被指定。當(dāng)和路徑都匹配時 expires-這個屬性用來設(shè)置持久化的 X-XSS-Strict-Transport- /docs/Web/HTTP/Headers/Content-Security-HTTP響應(yīng)頭Content- 極大地指