將用戶名+加密密碼發送到REST風格的服務

Question

在我的應用程序中，我使用了Spring MVC和JavaScript客戶端。現在，我需要爲我的應用程序添加一個4眼驗證表單。也就是說，第二個自然人必須來到並輸入他的用戶名和密碼才能驗證某種敏感數據更新。然後，系統將根據企業LDAP檢查該用戶的用戶名和密碼，然後返回成功或失敗。如果該人員的身份驗證失敗，系統將通知用戶刪除/添加是不可能的。如果成功，系統將執行更新。

我的問題是，因爲所有的服務都是RESTful的，我怎麼能以最安全的方式實現這樣的解決方案？我聽說使用JavaScript API加密密碼並通過電報發送應該不惜代價，因爲任何中間人攻擊都可能造成嚴重破壞。 我不想使用HTTPS，它只會用於表示我的應用程序的一小部分1％的目的。我應該去Spring Security嗎？如果是的話，我怎麼能在JavaScript框架內集成Spring Security Web表單？任何想法或經驗都會受到歡迎。

最佳， 吉米

Answer 1

我會重新考慮你的「不希望通過HTTPS和SSL做」，如果擔心安全問題。

Answer 2

考慮一個挑戰 - 響應機制。沒有密碼將被交換。