回复用ajax做就感觉好多了，现在回复还会刷新页面。。好古老的设计

@yyfearth 还有成本问题呢，数字证书怎么保证安全性，和银行一样搞USB key么？
USBkey的成本谁掏，做一个简单的网站，比如v2ex，然后上个USBkey，搞笑～

世上没有绝对的安全，只有相对的安全。假如都像@bhuztez这样抬杠，人类回到原始社会算了。

@bhuztez 不存密码？

世界上的事情都是权衡出来的，什么叫快的被暴破，慢的被DDOS

用上我上面说的那些方法，一般的黑客就已经无可奈何了。

你非要说假如大规模DDOS如何如何，假如别人用集群计算如何如何。。。当自己是Google啊，那么招人恨？

@bhuztez 限制登录就好了，连续五次密码错误禁止ip登录 30min。

discuz都有这功能

@bhuztez 限制登录就好了，连续五次密码错误封ip 30min。

discuz都有这功能

@yyfearth 本地一定要做js弱密码验证。。。要不就和CSDN一样全是123456789.....

不知道有没有现成的js弱密码验证库可用，把这些都给禁了：
QWERTYUIOP
!@#$%^&*(
....

@bhuztez 本地用js禁止弱密码不就行了。8位以上带字母，算去吧

@yyfearth 我觉得网站也有责任，应该在本地就用js不允许使用弱密码。

8位以上，不允许纯数字，然后配合每个用户一个单独的40位salt，想安全再加一个固定salt

以目前的计算机水平，普通黑客就算拿到你的数据库，想算出来也基本不可能

@bhuztez 注意我说的是一个用户一个salt。

黑客算出所有的 8位简单密码（纯数字小写字母） + salt 的彩虹表你觉得要花多长时间，你自己算一下吧

一个彩虹表只能用一次，下一个用户还得重新算一个

@yesmeck @bhuztez
现在已经改成了交互式的了，用了python的getpass。。。

使用方法：
% ./huami.py KEY
Password:
d82D51bf29FF94ad

依然可以结合xclip使用

% ./huami.py qq | xclip -i
Password:
% xlip -o
d82D51bf29FF94ad

@yyfearth 当然你可以每个用户一个salt，然后再来一个固定salt。。
@bhuztez 每个用户一个salt啊，那得试到哪辈子去了。。

差不多就行了，黑客也是讲投入产出的，一天才能破一个用户，还必须的是弱密码。你当黑客是傻子么

@yesmeck 厌烦一切交互式的程序。。。

不过改成交互式倒是很简单。。。只输入PASSWORD好了

@yyfearth 如果每个用户一个salt的话，泄露就泄露了吧，有黑客蛋疼到给每个用户都跑一遍彩虹表么。。。


建议salt直上40位。然后抛弃md5,用sha1啥的。。。。

另外花密是不是key和msg搞反了。。。按对比来说，password是密钥key，网站的识别码是信息msg。

不过这点对安全有影响么？吾不清楚

@xdz0611 其实用来配合lastpass最好了，lastpass生成的随机密码坏处是没有规律，这样在某些不能或不想访问lastpass的环境下就比较麻烦，比如公共电脑，比如手机（lastpass手机版要钱啊）

花密生成的密码用lastpass管理，这样一是方便，二是在没有lastpass的环境下也可以算出密码来

@avatasia swap都要加返回值～～～你这样写出来的程序会又臭又长的。。。

@avatasia 有时一个函数就是做某件事，比如让PC喇叭响一下，要啥返回值。。

Google几年前动辄十几二十轮。。。不过听说最近精简流程了

这贴太欢乐了。一个哈维尔，一个Dennis Ritchie。。。