如何用JavaScript实现向Servlet发送SHA256加密密码？

当然可以！前端用JavaScript对密码做SHA256哈希后再通过AJAX发送到后端，是提升传输安全性的常规操作。下面我会给出具体的实现步骤和代码示例：

一、前端JavaScript实现SHA256加密 #

我们可以利用浏览器原生的Web Crypto API来实现SHA256哈希，这个API是浏览器内置的，安全可靠，不需要引入第三方库：

async function generateSHA256Hash(password) {
  // 将字符串转换为Uint8Array格式，适配Crypto API要求
  const encoder = new TextEncoder();
  const data = encoder.encode(password);
  
  // 计算SHA256哈希值
  const hashBuffer = await crypto.subtle.digest('SHA-256', data);
  
  // 将哈希缓冲区转换为十六进制字符串，方便传输和存储
  const hashArray = Array.from(new Uint8Array(hashBuffer));
  const hashHex = hashArray.map(b => b.toString(16).padStart(2, '0')).join('');
  
  return hashHex;
}

二、结合AJAX发送加密后的密码 #

假设你的HTML表单有用户名输入框和密码输入框，我们可以通过fetch API（现代AJAX方案）来发送加密后的密码到Servlet：

// 监听表单提交事件，阻止默认跳转行为
document.getElementById('loginForm').addEventListener('submit', async (e) => {
  e.preventDefault();
  
  const username = document.getElementById('username').value;
  const rawPassword = document.getElementById('password').value;
  
  // 生成密码的SHA256哈希
  const hashedPassword = await generateSHA256Hash(rawPassword);
  
  // 组装表单数据
  const formData = new FormData();
  formData.append('username', username);
  formData.append('hashedPassword', hashedPassword);
  
  // 发送POST请求到你的Servlet地址
  try {
    const response = await fetch('/your-servlet-path', {
      method: 'POST',
      body: formData
    });
    
    const result = await response.text();
    // 根据后端返回结果处理页面逻辑，比如登录成功提示
    console.log(result);
  } catch (error) {
    console.error('请求失败:', error);
  }
});

三、Java Servlet接收并处理哈希后的密码 #

在你的Servlet中，只需获取前端传来的哈希值，再和数据库中存储的用户密码哈希进行比对即可：

protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
  String username = request.getParameter("username");
  String receivedHashedPwd = request.getParameter("hashedPassword");
  
  // 从数据库查询对应用户的密码哈希（示例方法，实际需替换为JDBC/ORM查询逻辑）
  String storedHashedPwd = getStoredPasswordHash(username);
  
  // 比对哈希值，验证密码正确性
  if (receivedHashedPwd != null && receivedHashedPwd.equals(storedHashedPwd)) {
    response.getWriter().write("登录成功");
  } else {
    response.getWriter().write("用户名或密码错误");
  }
}

// 模拟数据库查询方法
private String getStoredPasswordHash(String username) {
  // 实际项目中这里是从数据库读取用户的密码哈希值
  return "5e884898da28047151d0e56f8dc6292773603d0d6aabbdd62a11ef721d1542d8"; // 示例"password"的SHA256哈希
}

重要注意事项 #

• 必须配合HTTPS使用：前端哈希只是降低明文泄露风险，但如果没有HTTPS，哈希后的内容仍可能被中间人拦截篡改，HTTPS才是传输层安全的核心保障。
• 建议添加盐值（Salt）：单纯的SHA256哈希存在彩虹表攻击风险，最好给每个用户分配唯一盐值。可以让后端生成随机盐，用户注册时将密码+盐后哈希存储；或者后端存储盐值，验证时用盐重新计算哈希比对（更安全，盐不暴露在前端）。
• 后端仍需安全校验：永远不要在数据库存储明文密码，只存哈希值；同时后端要做好参数校验，避免注入攻击。

内容的提问来源于stack exchange，提问作者Hydronit