Я пытаюсь написать клиентское приложение, которое аутентифицирует пользователя с помощью внутреннего API. Я читал, что отправка простых текстовых паролей, даже через HTTPS, небезопасна в некоторых сценариях с прокси. В этой статье показано, как можно перехватить прокси-трафик перед его отправкой, например, в средах, использующих определенные фильтры контента. По этой причине я хотел бы отправить хеш пароля вместо простого пароля.
Моя идея заключалась в том, чтобы хешировать пароль на клиенте, а затем отправить его на серверную часть для аутентификации. Проблема, с которой я сталкиваюсь, заключается в том, что соль на клиенте и на бэкэнде разная. Как я могу аутентифицировать пользователя с помощью серверной части, не отправляя пароль по тексту плана (не HTTPS)? или как это делается в производственной среде?
Подробнее здесь: https://stackoverflow.com/questions/790 ... rent-salts
