Password Management: Hardcoded Password

在對項目進行安全掃描時，發現一些密碼硬編碼問題，本文主要三個方面：1）什麽是密碼硬編碼；2）密碼硬編碼的危害；3）密碼硬編碼的解決方案。

一 什麽是密碼硬編碼

將密碼以明文的形式直接寫到代碼中，就是密碼硬編碼。

下邊示例中，將用戶名和密碼直接寫到代碼中，就是硬編碼。

1 function connectionDatabase(url, userName, password) {
2     // ....
3 }
4 
5 connectionDatabase(‘./api‘, ‘zhangsan‘, ‘1234567‘);

二 密碼硬編碼的危害

主要危害有2個方面：

1）安全風險

只要能拿到該代碼的人（即使代碼發布前做過編譯或者混淆壓縮，也能通過反編譯等手段查看到源碼），都能獲取到該用戶名和密碼，導致安全風險；

2）可維護性不好

代碼一旦發布上線，後續要修改該用戶名和密碼非常困難，需要更改源代碼。

三 密碼硬編碼的解決方案

密碼硬編碼還沒有絕對安全的解決方案，只能通過加大破解難度來提高安全性。

最常用的方法是對密碼進行模糊化（例如：要先經過hash處理再存儲），並將密碼存在外部資源文件中進行管理。

示例：

下邊代碼中就是獲取配置文件中配置好的密碼：

下邊代碼中就是配置文件中加密過的密碼：

說明：經過上邊的處理，並不是就絕對安全了，黑客高手也有手段破解。但相比直接明文方式加密，至少能解決安全軟件掃描問題。