几乎每一个App都离不开登录注册这个功能模块，那么作为前端开发，在实现登录注册的时候我们应该进行什么样的处理，才能提高登录注册信息在数据传输过程中的安全性？这里我总结了以下几个方面：
- “裸体”明文信息，直接将登录注册信息传送给服务器；
- MD5加密处理后，传输给服务器；
- MD5和“固定盐”加密处理后，传输给服务器；
- HMAC加密处理后，传输给服务器；
- 增添登录请求的时效性。
“裸体”明文
这个没什么好说的，如果你不是写Demo的话，使用明文传输用户信息，想想你的支付宝、银行卡里面的钱不翼而飞，整天被各种销售、房地产给你打电话吧。
MD5加密处理
通常在我们做开发前期，说到登录注册加密，可能最初都是使用MD5进行加密的，并且以为天衣无缝，因为我们都知道MD5是不可逆的。但是:在计算机的世界里，哪有绝对的安全，无时无刻不是在进行加护破解的博弈。MD5也是一样的，针对MD5可以进行暴力破解，至于如何暴力破解，这里附一个网址，它会告诉你一切
CMD5 : http://www.cmd5.com 。
MD5和“固定”盐加密处理
盐（Salt）
在密码学中，是指通过在密码任意固定位置插入特定的字符串，让散列后的结果和使用原始密码的散列结果不相符，这种过程称之为“加盐”。
-----维基百科
static NSString * salt = @"ladsuf89asufiajfdi2oj3rw;oef()fkdk%^%839u48923ksjfklsdjflkf";
- (IBAction)login:(id)sender {
NSString * user = self.UserText.text;
pwd = [pwd stringByAppendingString:salt].md5String;
// do something
}
以上代码块，就是对明文密码进行加盐MD5化，盐Salt是前端和后台服务器提前商定的结果。这样的话，暴力破解的方式就几乎可以避免（如果这样还被暴力破解，只能说运气太差）。
这种方式在一定程度上降低了在传输过程中被中间人攻击后破解得到原文的可能性。
当然上面代码块的加密是最简单的，在此基础上，我们还可以延伸。比如将传输的参数和盐Salt进行字典序排序后进行MD5加密，获取的字符串作为Signature签名，然后再将Signature、参数和盐进行MD5加密，获得最终的加密结果，进行传输。传输到后台后，后台会对传输信息进行匹配。
但是：固定盐加密的方式，有一个严重的弊端。就是固定，不可修改。如果我们的盐Salt无意间泄漏，那么这就是一个大麻烦，因为我们之前的用户密码都是根据这个固定盐生成，如果盐Salt泄漏，当我们想要替换之前的Salt时，会造成之前所有注册过的用户密码失效，这种后果的严重性，不用我说大家也都明白。而这种盐泄漏的风险还是很高的，比如人为泄漏，比如反编译泄漏(App被反编译后，可以看到很多信息，而盐，说不定就是其中一个。)
HMAC加密
- (IBAction)login:(id)sender {
NSString * user = self.UserText.text;
NSString * pwd = self.PwdText.text;
// 拿到注册时从服务器获取的密钥Key
NSString * key = [KeyChain getSaltWithAccount:user];
if (key == nil) {
//1.发送网络请求!获取密钥!!
key = [self getKeyWithAccunt:user];
//2.将密钥存储到KeyChain中
[KeyChain setSaltWithAccount:user];
}
//Hamc+key后的密码，进行网络传输
pwd = [pwd hmacMD5StringWithKey:key];
以上代码块就是简略的HMac和“动态盐”的加密方式。
特别说明一下登录中步骤5:
当我们注册账户后，会将密钥Key存储在KeyChain中方便以后登录取出使用，但是：当我们更换设备时，就取不到登录所需的密钥Key，针对这种情况，我们需要重新向服务器获取账户对应的密钥Key，这个获取的过程我们可以做成设备锁，类似QQ那种效果的设备锁。当用户重新获取密钥Key时，需要注册时填写的手机号进行短信验证或者回答注册时填写的一些信息。同样，当获取到密钥Key时，需要存储在设备的KeyChain中。
时效性
至此，我想我们的登录请求的安全系数已经提高了很多，但是还存在一定的风险，比如当中间人直接拦截获取登录授权信息，模拟成用户操作。针对这种情况，我们可以对登录请求增添时效性，过期不候。
具体就是在我们的HMAC加密过程中，加密参数增添一个时间戳，这个时间戳应该是从服务器获取的，客户端的时间由于多方面原因吧，可能会造成和服务器时间不一致。当客户端将具有时效特性的信息传输给服务器后，服务器会根据规定的加密规则，进行相同的算法，来和客户端传递的数据相比对。这样即使中间人截获了登录传输的信息，如果是一个过期的数据信息，传输给服务器也是无效的。当然这个有效时间也是客户端和服务器的协定的。
