A
а когда пароль от клиента будет приходить
Size: a a a
2020 May 30
A
Переводить буду в sha1 и проверять в БД
AM
в БД есть HASHBYTES
A
а чем он отличается от byte?
AM
CREATE TABLE dbo.Test1 (c1 nvarchar(32));
INSERT dbo.Test1 VALUES ('This is a test.');
INSERT dbo.Test1 VALUES ('This is test 2.');
SELECT HASHBYTES('SHA2_256', c1) FROM dbo.Test1;
INSERT dbo.Test1 VALUES ('This is a test.');
INSERT dbo.Test1 VALUES ('This is test 2.');
SELECT HASHBYTES('SHA2_256', c1) FROM dbo.Test1;
AM
0x741238C01D9DB821CF171BF61D72260B998F7C7881D90091099945E0B9E0C2E3
0x91DDCC41B761ACA928C62F7B0DA61DC763255E8247E0BD8DCE6B22205197154D
(2 row(s) affected)
0x91DDCC41B761ACA928C62F7B0DA61DC763255E8247E0BD8DCE6B22205197154D
(2 row(s) affected)
AM
это бесплатный способ вычислить хеш пароля
AM
в mysql SHA1
A
Понял, круто, но в чем тогда суть хранить пароль в открытом виде в БД?)
VL
Чтобы сделать logout в моем случаи - достаточно на клиенте стереть куки и перезагрузить страницу?)
В принципе да, если у тебя jwt. Если не jwt – нужно ещё стереть токен из его места хранения
VL
не надо мешать токены и куки
Они нормально сочетаются в принципе, jwt хранят в куки чтобы обезопасить себя от атаки (конечно, обязательно использовать antiforgery)
A
Они нормально сочетаются в принципе, jwt хранят в куки чтобы обезопасить себя от атаки (конечно, обязательно использовать antiforgery)
хз что это, но видел когда-то в ключе контролера такое
A
[antiforgery]
A
Они нормально сочетаются в принципе, jwt хранят в куки чтобы обезопасить себя от атаки (конечно, обязательно использовать antiforgery)
Но спасибо больше, сейчас буду гуглить))
AM
Они нормально сочетаются в принципе, jwt хранят в куки чтобы обезопасить себя от атаки (конечно, обязательно использовать antiforgery)
включать CSRF XSS и CORS
VL
HttpOnly-cookie защищает от XSS, antiforgery от CSRF
AM
Но спасибо больше, сейчас буду гуглить))
не забудь включить CSRF XSS и CORS потому что твой куки могут украть злоумышленники
AM
еще CORS
A
HttpOnly-cookie защищает от XSS, antiforgery от CSRF
та знаю, не получилось реализовать никак, время очень сильно поджимает))
A
Сделал на половину тогда, мол записываю в куки, но в стартап переделать проверку с bearer на httpOnly не смог