我正在创建一个移动REST API。
目前，当用户使用电子邮件和密码登录时，我会生成秘密会话密钥（64个字符长），将其存储在数据库中并将其发送给用户，以便用户无需再次登录以备将来使用直到他们退出。
对于下一个请求，我只检查提供的会话密钥是否等于数据库中的会话密钥。
但是，我在这个计划中看到了一个很大的安全漏洞。如果攻击者可以访问数据库，他们可以使用密钥并在不知道密码的情况下冒充任何人。除了模糊用户的真实密码之外，在这种情况下加密密码有什么意义 - 它不会阻止任何其他密码。
所以，我的问题是如何正确存储这些访问密钥？
Twitter会在登录API时发送会话密钥。那么，他们如何存储这些密钥？
感谢。
答案 0 :(得分：0)
散列会话密钥更好，就像它是密码一样，并将散列值存储在数据库中。
与password hashing的唯一区别在于，因为你的会话密钥是（我希望，至少）由secure random number generator生成并且足够长，以至于无法通过蛮力（I＆＃39; d推荐至少128位的随机性），你：
不使用salt还允许您使用（哈希）会话密钥在数据库中查找会话记录，因此您不需要单独的会话ID。
所以，总结一下：
开始新会话时，使用安全RNG生成会话密钥，将会话密钥的SHA-256哈希值存储在数据库中，并将（未散列）会话密钥发送给客户端。
当客户端发出请求时，使用SHA-256散列客户端发送的会话密钥，并在数据库中查找相应的记录。
您可能还希望限制会话密钥的生命周期，并为客户端提供一些明确使所有用户会话无效的机制，以减轻单个会话密钥泄露的影响。