基於AJAX的服務的身份驗證協議

Question

我們目前正在構建新服務的過程中，其目的是爲後端使用PHP，更重要的是，使用AJAX而不是前端的常規HTTP請求。所以只會有一個初始頁面請求。

雖然這樣做，我們也想確保它是安全的。

所以問題是這樣的： 登錄是基於正規用戶名/密碼。 AJAX前端會根據需要向服務器發出AJAX請求，但應該怎麼做以避免不必要的安全問題？哈希密碼顯然是一個，它可以進一步通過在哈希中包括服務器生成的令牌進行改進等。

但是，我確定有這些事情建立協議，但我真的不'不知道他們的優點......甚至他們被稱爲或在哪裏找到他們（請注意，服務器本身是可信的）。

使用HTTPS會使所有這些冗餘嗎？或者比如哈希密碼仍然是非常必要的（理論問題）？使用協議是否仍然對HTTPS很重要/有用/毫無意義？

http://en.wikipedia.org/wiki/Secure_Remote_Password_protocol，這是我應該看看的東西嗎？ HTTPS是否使SRP變得冗餘？是否有更合適的協議，尤其是通過HTTPS？

Answer 1

如果你使用PHP會話，你應該沒問題。當您進行AJAX調用時，服務器將從您的頁面發送一個cookie有效載荷，用於指示其對應的會話ID。很顯然，通過HTTPS來實現通信安全。