Хранение пароля в сеансе

Question

Я рассматриваю вопрос о сохранении введенного пользователем пароля в состоянии сеанса. Есть ли какие-либо угрозы безопасности или проблемы, о которых мне нужно знать?

Answer 1

Да. Это просто очень плохая идея. Вы даже не должны хранить пароли в базе данных - лучше всего хранить хэши паролей. Таким образом, вы можете проверить пароль, но если кто-то получит доступ к базе данных (или к состоянию сеанса в вашем случае), у него фактически не будет пароля пользователя.

Answer 2

В asp.net есть много мест, где могут храниться данные сеанса. Чаще всего в разработке, это InProc или в основном в оперативной памяти. Однако однажды вы могли бы решить использовать другого поставщика сеансов, такого как база данных, или использовать кэш Windows Azure. Хранение паролей в виде открытого текста сделает их видимыми, когда они передаются по сети в обоих этих случаях.

В приведенном выше сценарии, когда данные сеанса передаются по сети, если передача не передается по https, будут видны чистые пароли