用Node.js和MongoDB存儲密碼

Question

我在找一些如何使用node.js和mongodb安全地存儲密碼和其他敏感數據的例子。

我希望一切都使用一種獨特的鹽，我將沿着mongo文檔中的哈希存儲。

對於身份驗證，我必須對輸入進行加鹽和加密，並將其與存儲的哈希匹配？

我是否需要解密這些數據，如果有，我該怎麼做？

私鑰或甚至醃製方法如何安全地存儲在服務器上？

我聽說AES和Blowfish都是很好的選擇，我應該使用什麼？

任何如何設計這個例子將是非常有益的！

謝謝！

Answer 1

使用此：https://github.com/ncb000gt/node.bcrypt.js/

bcrypt是集中在這個用例短短算法之一。您永遠不應該能夠解密您的密碼，只驗證用戶輸入的明文密碼與存儲/加密的哈希匹配。

bcrypt非常簡單易用。這是我的Mongoose用戶模式（在CoffeeScript中）的一個片段。確保使用async函數，因爲bycrypt很慢（有意）。

class User extends SharedUser 
    defaults: _.extend {domainId: null}, SharedUser::defaults 

    #Irrelevant bits trimmed... 

    password: (cleartext, confirm, callback) -> 
    errorInfo = new errors.InvalidData() 
    if cleartext != confirm 
     errorInfo.message = 'please type the same password twice' 
     errorInfo.errors.confirmPassword = 'must match the password' 
     return callback errorInfo 
    message = min4 cleartext 
    if message 
     errorInfo.message = message 
     errorInfo.errors.password = message 
     return callback errorInfo 
    self = this 
    bcrypt.gen_salt 10, (error, salt)-> 
     if error 
     errorInfo = new errors.InternalError error.message 
     return callback errorInfo 
     bcrypt.encrypt cleartext, salt, (error, hash)-> 
     if error 
      errorInfo = new errors.InternalError error.message 
      return callback errorInfo 
     self.attributes.bcryptedPassword = hash 
     return callback() 

    verifyPassword: (cleartext, callback) -> 
    bcrypt.compare cleartext, @attributes.bcryptedPassword, (error, result)-> 
     if error 
     return callback(new errors.InternalError(error.message)) 
     callback null, result 

此外，閱讀this article, which should convince you that bcrypt is a good choice並幫助你避免成爲 「很好，真正effed」。

Answer 2

這是我遇到迄今最好的例子，使用node.bcrypt.js http://devsmash.com/blog/password-authentication-with-mongoose-and-bcrypt