逆天!干了 3 年的同事用 base64 编码做 token 并且把密码也放了进去

查看 578|回复 43
作者:xhatt510   
最近做项目,他搞了用户登陆和状态保持。
当时存的时候他跑过来问我密码要不要用 base64 加密存。
我说这和明文没啥区别把,区别就是比明文多浪费1/3空间。不如直接加盐然后存 md5 。
当我看到 token 的时候,我人直接傻了。
这就是 token YWRtaW58cGFzczEyMzQ1NnwxNzEzNzcxNzg4
我相信只要干过开发的人一眼就能认出来这是什么东西。
我本来以为这已经够逆天了。解码出来的内容才真的让人窒息。
admin|pass123456|1713771788
数据库的 user 表里面的用户名和密码也都是base64 编码存储的。
我本以为这种最基本的常识问题,只可能在一个实习生身上发生,但是这个同事至少在这里干了 3 年了
在他的知识库里 base64 编码=加密
然后只有这种格式的才叫json。(用一对花括号包裹{})
{
    "test": 1
}
这种不叫json,更别说其他的值类型的被叫json
[
    "abc",
    "def"
]
可能我描述有问题,我的意思是,这个同事只认为花括号的才是 json ,其他的所有都不是。
oott123   
可能我描述有问题,我的意思是,这个同事只认为花括号的才是 json ,其他的所有都不是。
soundlife   
你听说过 basic auth 吗(
严格来说把密码当成 token 也不是不行
xhatt510
OP
  
有些离谱,但不过多评价,因为我也是菜鸡。每个人菜的方向都不一样吧
xhatt510
OP
  
@oott123 听过,用过。这样的嘛?我在学习学习
coffeygao   
@soundlife 我感觉特别窒息,每次和这个人有交集的时候 都有一种无力感。而且特别犟。
matepi   
你解密出来的数据出现了手机号,看起来不是很友好,希望下次注意,避免泄露他人隐私。
soundlife   
编解码、加解密、摘要、加盐
CRUD boy 确实很多不认识的
再进一步地上面的都认识了,是不是就安全了呢……又要讲什么 防重放、中间人
那不得又是一堆人不认识的
咋办,得教得学啊
xhatt510
OP
  
@coffeygao 10 位的
yuzo555   
@coffeygao 最后那个是个时间戳。不是手机号
您需要登录后才可以回帖 登录 | 立即注册

返回顶部