在会话中存储密码

Question

我正在考虑在会话状态中存储用户输入的密码。是否存在我需要注意的安全风险或问题？

Answer 1

是的。这只是一个非常糟糕的主意。您甚至不应该将密码存储在数据库中 - 最好的做法是存储密码哈希值。所以你可以验证密码，但是如果有人访问数据库（或者你的情况下会话状态），他们实际上并没有用户的密码。

Answer 2

在asp.net中，有很多地方可以存储会话数据。最常见的是开发中，它是InProc，或者基本上在RAM内存中。不过，有一天您可能会决定使用不同的会话提供程序，如数据库或使用Windows Azure缓存。 以明文形式存储密码将使它们在通过网络在这两种情况下传输时都可见。

在上述场景中，通过网络传输会话数据，除非通过https发送传输，否则将显示清除密码。