Question

我要问的是,在蒙戈布省,情况最好如此:

db.users.findOne({ username :  example ,  password :  5f189664bb2e58d4e2ee879835b13a7e3a790e14 })

或者以类似情况对密码进行核对:

user = db.users.findOne({ username :  example })
if user[ password ] == passwordHash:
    print "Hello user"

感谢! Jarus

Answer 1

如果发现用户,但密码是错误的,这取决于你想要做什么。

If you want to display "Incorrect username or password" you can use either method.
If you want to display "Incorrect password" you need the second method as the first method cannot distinguish between the username being valid and the password being wrong, and the user not existing.

注:如果你想保持你的系统安全,你可能比第二种方法更喜欢第一种方法。第二种方法采用不同的编码方法,取决于用户名称是否存在,密码是错误的,或者用户名称没有。这可能导致泄露关于贵系统有哪些用户名称的信息,这对攻击者有用。