客戶端服務器消息加密

Question

我正在使用Ionic 2客戶端和具有RESTful服務的Java Server（Java8）。當用戶登錄當前，我發送一個請求從客戶端到RESTful服務。這會將一個javascript Person對象傳遞給java Person對象。

問題1

這是否意味着密碼不被暴露。或者是？

問題2

一旦服務器接收到該Person對象時，它檢索password字符串並將其保存到MySQL數據庫。

我想加密這個密碼，所以當有人看着數據庫時，他們無法讀取密碼。然後當從數據庫中讀取時，我需要再次解密。

任何人都可以請爲上述2個問題推薦最好和最簡單的策略。

謝謝

Answer 1

Q1。爲了客戶端和服務器之間的安全傳輸，使用HTTPS。 Q2302。 不要加密密碼，當攻擊者獲取數據庫時，他也會得到加密密鑰。使用隨機鹽在HMAC上迭代大約100毫秒的持續時間，並用散列表保存鹽。使用諸如password_hash，PBKDF2，Bcrypt和類似函數的函數。關鍵是要讓攻擊者花費大量時間通過強力查找密碼。