用户模块关于弱密码md5加密

在做用户登录的时候，获取到用户username和password，此时我们有两种比较方法：

-- 第一种
select * from user where username = ? and password = ?

-- 第二种
select * from user where username = ?

我们应该使用哪一种呢？

答案是第二种。因为第一种表示数据库存储的就是md5（用户密码），如果用户的密码是弱密码，那么数据库一旦泄露，那么使用md5解密就有可能能获取到用户的密码，不安全。所以解决办法是在用户表中再加入一个字段salt（加密盐，可以是一串uuid，每个用户唯一），用户在注册或者修改密码的时候，把salt加到用户输入的密码后面，然后再使用md5加密存储到数据库中。这种复杂的密码，是无法进行md5解密的。

基于以上分析，我们已经清楚，在比对用户密码的时候要先拿到该用户的salt，拼接在用户密码的后面，再使用md5加密，然后与数据库中的密码进行比对。所以我们只能使用第二种sql才能达到这种效果。

还有一个注意的点是，当username不存在时应该返回什么错误信息呢？最好不要回复“用户名不存在”，因为这样的话，其他人就知道哪些用户名被注册过，所以最好还是回复“用户名或密码错误” 。       

补充一点：

用户登录后会生成jwt token，为了防止jwt token泄露，提供一种解决方案：

• 每次生成令牌的时候，把用户的IP作为令牌的一部分进行MD5加密，并将密文存入到令牌中
• 用户每次访问API接口的时候，都先获取客户端IP，再将IP进行MD5加密，并和令牌中的IP密文比对
• 如果密文一致，则证明IP没有发生变化，如果密文不一致，则证明IP发生变化，提示重新登录

散的知识点

token校验的密钥能不存放其他模块就不存放其他模块