Laravel登录输入密码加密方案：解决请求Payload泄露问题

一、核心解决方案：启用HTTPS #

这是最关键且必须实施的措施：

• HTTP协议下所有请求内容（包括表单Payload）都是明文传输，抓包工具能直接获取密码。HTTPS会对整个请求链路加密，抓包只能看到加密后的密文，从根源上避免密码泄露。
• 现在主流云服务商、服务器面板都支持免费SSL证书（如Let's Encrypt），无需修改Laravel代码，仅需在服务器端配置HTTPS即可。

二、前端加密补充方案（仅作为HTTPS的辅助，不能替代HTTPS） #

如果需要进一步提升安全性，可以在前端对密码进行哈希处理后再传输，同时结合挑战-响应模式防止重放攻击：

1. 后端生成随机挑战字符串

在登录页面的控制器方法中，生成随机挑战串并存储到Session：

use Illuminate\Support\Str;

public function showLoginForm()
{
    $challenge = Str::random(32);
    session(['login_challenge' => $challenge]);
    return view('auth.login', compact('challenge'));
}

2. Blade表单添加隐藏字段

在登录表单中加入存储挑战串的隐藏字段：

<form role="form" method="POST" action="{{ route('Login') }}">
    @csrf
    <!-- 新增挑战串隐藏字段 -->
    <input type="hidden" name="challenge" value="{{ $challenge }}">
    
    <!-- 原有邮箱、密码输入框保持不变 -->
    <div class="form-group{{ $errors->has('email') ? ' has-danger' : '' }} mb-3">
        <!-- ...原有邮箱输入逻辑... -->
    </div>
    <div class="form-group{{ $errors->has('password') ? ' has-danger' : '' }}">
        <!-- ...原有密码输入逻辑... -->
    </div>
    <div class="text-center">
        <button type="submit" class="btn btn-primary my-4">{{ __('Iniciar sesión') }}</button>
    </div>
</form>

<!-- 新增前端哈希处理脚本 -->
<script>
document.querySelector('form').addEventListener('submit', function(e) {
    e.preventDefault();
    const passwordInput = this.querySelector('input[name="password"]');
    const challenge = this.querySelector('input[name="challenge"]').value;
    
    // 使用Web Crypto API对密码+挑战串进行SHA-256哈希
    crypto.subtle.digest('SHA-256', new TextEncoder().encode(passwordInput.value + challenge))
        .then(hash => {
            // 将哈希结果转为十六进制字符串
            const hashHex = Array.from(new Uint8Array(hash))
                .map(b => b.toString(16).padStart(2, '0'))
                .join('');
            // 替换原密码字段值为哈希结果
            passwordInput.value = hashHex;
            // 提交表单
            this.submit();
        });
});
</script>

3. 修改登录控制器验证逻辑

不再使用Auth::attempt()，改为手动验证哈希结果：

use App\Models\User;
use Illuminate\Support\Facades\Auth;

public function Login(Request $request)
{
    $credentials = $this->validate(request(), [
        'email' => 'email|required|string',
        'password' => 'required|string',
        'challenge' => 'required|string'
    ]);

    // 验证挑战串有效性（防止重放）
    $storedChallenge = session()->pull('login_challenge');
    if (!$storedChallenge || $storedChallenge !== $credentials['challenge']) {
        return back()->withErrors(['email' => trans('auth.failed')]);
    }

    // 查询用户
    $user = User::where('email', $credentials['email'])->first();
    if (!$user) {
        return back()->withErrors(['email' => trans('auth.failed')]);
    }

    // 计算正确的哈希值并对比
    $expectedHash = hash('sha256', $user->password . $credentials['challenge']);
    if ($expectedHash !== $credentials['password']) {
        return back()->withErrors(['email' => trans('auth.failed')]);
    }

    // 登录用户并设置Session
    Auth::login($user);
    session([
        'rol' => $user->role_idrole,
        'id' => $user->id,
        'userEmail' => $user->email,
        'userPhoto' => $user->photo
    ]);

    return $user->role_idrole == 3 ? redirect()->route('main') : redirect()->route('home');
}

三、优化原有登录逻辑（附带建议） #

原来的控制器中多次查询用户表，可以直接通过Auth::user()获取用户信息，减少数据库请求：

// 原逻辑
// $roleStdClass = DB::table('users')->where('email', $credentials['email'])->select('role_idrole')->first();
// ...多次查询...

// 优化后
if(Auth::attempt($credentials))
{
    $user = Auth::user();
    session([
        'rol' => $user->role_idrole,
        'id' => $user->id,
        'userEmail' => $user->email,
        'userPhoto' => $user->photo
    ]);
    // ...跳转逻辑...
}

内容的提问来源于stack exchange，提问作者Daniel