WEB密码安全输入控件

 

 在没有使用ssl加密的系统中登录，登录的用户名和密码都是在网络中通过明文传送，安全性较低，可以使用插件形式对密码进行加密后再传送。

为了保证每次加密的结果的不同(防止跨域提交或截取加密信息伪提交)，每次加密的key的一部分由服务器端随机生成，在页面加载的时候由服务器端生成通过页面js脚本传递给密码输入控件，密码输入控件根据控件内置的密码和传入的密码进行加密（如DES），服务器接收后再进行解密得到原密码

如插件中内置密码为abc，服务器端随机生成的密码为1346，那么插件在加密时即使用 abc1346密码对用户输入的密码进行加密，传输时数据被截取后只能获取的随机密码1346，而没有完整密码不能对加密的密文进行解密，而且加密的密文只对本次登录有效，而不能通过程序模拟登录，因为下一次的随机密码改变导致加密密文改变。有效保证登录的安全。

如需破解加密的密码就需要破解登录插件内置密匙及加密算法，一方面增加了获取信息的成本，一定程度上提升密码的安全性。

html代码

<OBJECT classid="clsid:40B92480-3214-4C00-854B-6A05FDA6D4E6" width="100" height="200">
<param name="ekey" value="D9B6FF64EBC74C7DB44EC54C30978813" />
</OBJECT>

 

ekey 可以使用guid、时间等，不重复使用

服务器验证时用保存在session中的ekey进行密码解密，防止使用过期的ekey加密的信息登录