用Node.js和MongoDB存储密码

Question

我在找一些如何使用node.js和mongodb安全地存储密码和其他敏感数据的例子。

我希望一切都使用一种独特的盐，我将沿着mongo文档中的哈希存储。

对于身份验证，我必须对输入进行加盐和加密，并将其与存储的哈希匹配？

我是否需要解密这些数据，如果有，我该怎么做？

私钥或甚至腌制方法如何安全地存储在服务器上？

我听说AES和Blowfish都是很好的选择，我应该使用什么？

任何如何设计这个例子将是非常有益的！

谢谢！

Answer 1

使用此：https://github.com/ncb000gt/node.bcrypt.js/

bcrypt是集中在这个用例短短算法之一。您永远不应该能够解密您的密码，只验证用户输入的明文密码与存储/加密的哈希匹配。

bcrypt非常简单易用。这是我的Mongoose用户模式（在CoffeeScript中）的一个片段。确保使用async函数，因为bycrypt很慢（有意）。

class User extends SharedUser 
    defaults: _.extend {domainId: null}, SharedUser::defaults 

    #Irrelevant bits trimmed... 

    password: (cleartext, confirm, callback) -> 
    errorInfo = new errors.InvalidData() 
    if cleartext != confirm 
     errorInfo.message = 'please type the same password twice' 
     errorInfo.errors.confirmPassword = 'must match the password' 
     return callback errorInfo 
    message = min4 cleartext 
    if message 
     errorInfo.message = message 
     errorInfo.errors.password = message 
     return callback errorInfo 
    self = this 
    bcrypt.gen_salt 10, (error, salt)-> 
     if error 
     errorInfo = new errors.InternalError error.message 
     return callback errorInfo 
     bcrypt.encrypt cleartext, salt, (error, hash)-> 
     if error 
      errorInfo = new errors.InternalError error.message 
      return callback errorInfo 
     self.attributes.bcryptedPassword = hash 
     return callback() 

    verifyPassword: (cleartext, callback) -> 
    bcrypt.compare cleartext, @attributes.bcryptedPassword, (error, result)-> 
     if error 
     return callback(new errors.InternalError(error.message)) 
     callback null, result 

此外，阅读this article, which should convince you that bcrypt is a good choice并帮助你避免成为 “很好，真正effed”。

Answer 2

这是我遇到迄今最好的例子，使用node.bcrypt.js http://devsmash.com/blog/password-authentication-with-mongoose-and-bcrypt