网站登陆密码应不应该允许特殊字符?

Question

xu大请教如果可以使用诸如 斜线 反斜线 单引号 双引号 百分号 星号等特殊符号,在服务器端md5并入库之前,做什么操作来保证安全性吗? 或者说会有什么安全隐患吗?

Answer 1

xu大请教如果可以使用诸如 斜线 反斜线 单引号 双引号 百分号 星号等特殊符号,在服务器端md5并入库之前,做什么操作来保证安全性吗? 或者说会有什么安全隐患吗?因為你的數據庫里存儲的是md5加密後的內容,md5只會有英文和數字,所以只要在入庫之前你處理好了安全問題的話,理論上使用什麽作為密碼倒是無所謂.

Answer 2

采取什么字符关键看需要吧，看程序设置吧。楼主是不是担心有injection攻击？

Answer 3

个人认为应该是所有ascll可打印字符去掉del  也就是0x20 ~ 0x7e的部分
（0x7f不显示 但是也算一个字符 容易导致显示上重名）强迫不强迫用户字母数字的组合是你自己的事情另外后端最好使用支持参数化查询的库 最大程度上防止sql注入

Answer 4

找回密码可以生成一个随机值入库然后丢进他邮箱里啊！可以不用存明文！
至于密码强度，我个人觉得一般网站不应太苛刻，够字符数就好，涉及金钱或敏感信息的网站应严格要求
如果hash的话，什么特殊字符都无所谓了吧