前端新手求教：如何安全存储用户凭证并实现登录验证

首先明确：你提到的Window.localstorage和window.sessionStorage绝对不能用来存储用户密码或账号凭证，这俩是前端明文存储，随便开个浏览器控制台就能拿到，还容易被XSS攻击窃取，完全没安全性可言。

给你梳理下正确的流程和学习方向：

• 密码存储的核心：只存哈希值，绝不碰明文
  不管前端还是后端，永远不要存储用户的明文密码。要用成熟的密码哈希算法（比如bcrypt、Argon2、PBKDF2），并且给每个用户生成唯一的「盐（salt）」，把密码和盐混合后再哈希，最后把哈希结果+盐存在后端数据库里。绝对不要自己发明加密算法，现成的标准算法已经经过无数安全验证。

• 前端的职责：传密文（或明文但走HTTPS），存验证令牌
  用户注册/登录时，前端只需要把用户输入的密码通过HTTPS协议传给后端——如果担心传输安全，也可以在前端用安全的哈希库先做一次哈希再传，但核心还是后端要再做一次加盐哈希（避免前端库被篡改的风险）。
  登录成功后，后端会返回一个身份令牌（比如JWT），你可以把这个令牌存在HttpOnly属性的Cookie里（最安全，能防XSS），或者如果是单页应用，也可以存在localStorage但一定要做好XSS防护。后续前端请求接口时，带着这个令牌就能证明身份，不用再每次传密码。

• 登录验证的流程
  用户登录输入密码后，后端取出该用户对应的盐，把输入的密码和盐用同样的哈希算法处理，然后和数据库里存的哈希值比对：如果一致，说明密码正确，返回令牌；不一致就拒绝登录。

总结下：前端只负责收集输入、传数据、存令牌；密码的加密存储和验证逻辑全在后端，核心是用标准哈希算法加盐存储，绝对不能用前端本地存储存密码相关信息。

内容的提问来源于stack exchange，提问作者NAVI