Techies, não acho que seja legal armazenar a Senha descriptografada do Usuário, seja no seu servidor de Banco de Dados ou no Browser do Usuario.
Então acredito que tem mais coisa a ser repensada aqui, primeiro vamos pensar no back-end
, você deveria criptografar a senha usando algum algoritmo irrevelável, por exemplo PBKDF2 + SHA256
, Blowfish
ou BCrypt
, você possivelmente deve encontrar implementações pela internet.
Então o Usuário para se autenticar iria enviar o usuario e senha, o servidor iria criptografar a senha e comparar ela com a senha criptografada no banco, caso tivesse sucesso, o servidor retornaria um Token de Acesso e não a senha.
Segue um exemplo de geração de Token de 128 bytes:
var tamanho = 8;
var index = -16;
var token = new byte[16 * tamanho];
for (var indice = 0; indice < tamanho ; indice++) {
Guid.NewGuid().ToByteArray().CopyTo(token, index += 16);
}
Console.WriteLine("Exemplo: " + Convert.ToBase64String(token));
//Exemplo: bopofs47dU6dt98TR8NULgqDQ6gOwb5LlUyJV36HO83sOatKfGjpSLuS6y0jOMJUOEv9pM5Roky3I0rlxfjB3CSrCCqVkfRKjolgL5lIFD/Gy37tjU3uR74iCZSZceiwhhUnIM3Mr0qWUjwqAThB6jupiPLbkiJKmeL1lZtM7vo=
Você poderia armazenar este Token no seu Banco de Dados, assim como informações adicionais... Data de Acesso, IP, Nome da Maquina, etc... assim como uma Data de Expiração (Absoluta ou Relativa).
Agora temos o dilema de onde armazenar este Token
, o problema do SessionStorage
é que ele é unico por Tab
do Browser, então se o usuário abrir uma nova aba, terá de autenticar novamente. então a sua opção aqui seria o LocalStorage
, IndexedDB
e/ou Cookies
... para armazenar um Token, não vejo problemas em usar qual quer um deles... eu particularmente usaria o IndexedDB.
O Cliente precisaria apenas enviar este Token de acesso, apartir dele você será capaz de identificar o usuário.