🔐 Security hardening for "someday": hash passwords + stop sending password in the URL

[longmaolab]

Suggested labels: security, enhancement

TL;DR (English)

You already did the urgent thing — PR #3 closes the XSS holes, which were the scary "another player runs code in your browser" bugs. 👏 This issue is the calmer, someday layer of security: two hardening steps that are totally fine to leave as-is while you're learning, but worth writing down so they're not forgotten if this ever goes public/serious.

Per CLAUDE.md, both of these are documented, intentional hobby tradeoffs — so this isn't "you did it wrong," it's "here's the graduation path." Two items:

• (1) Hash passwords instead of storing them in plaintext. Today they're stored & compared as-is (server.js:362 compare, server.js:562 store) and saved to localStorage on the client (public/game.js:17542). Node has a built-in hasher (crypto.scrypt) — no npm install needed.
• (2) Stop sending the password in the URL. GET /shop/inventory reads ?username=…&password=… from the query string (server.js:342-345). URLs get written to server logs, proxy logs, and browser history. Switch it to POST with the password in the request body — exactly like /shop/buy already does.

Neither is urgent for a hobby game. Filing so it's on the map. 🗺️

---

中文详细说明

先说一句:紧急的那部分你已经搞定了 —— PR #3 把 XSS 堵上了,那才是"别人能在你浏览器里跑代码"的可怕 bug。👏 这个 issue 是更从容的、"以后再说"的安全加固。这两件事在你学习/玩耍阶段保持现状完全 OK,只是写下来,免得将来真要公开/正式上线时忘了。

CLAUDE.md 里写明了:这两条都是你有意做的、有记录的业余取舍。所以这不是"你做错了",而是"毕业路线图"。

(1) 把密码哈希,而不是明文存

现在密码是明文存和比对的:

• server.js:362 —— if (!u || u.password !== password)(明文比对)
• server.js:562 —— 注册时直接 password 存进 users.json
• public/game.js:17542 —— 客户端把明文密码写进 localStorage

为什么要改: 万一 users.json 泄露(或有人翻到 localStorage),所有人的密码就直接暴露了 —— 而且很多人到处用同一个密码。哈希之后,存的是"加盐后的乱码",就算泄露也还原不出原密码。

怎么改(用 Node 自带的 crypto,不用装任何东西):

const crypto = require('crypto');
// 注册时:
function hashPassword(pw) {
  const salt = crypto.randomBytes(16).toString('hex');
  const hash = crypto.scryptSync(pw, salt, 64).toString('hex');
  return `${salt}:${hash}`;            // 存这个字符串,而不是明文
}
// 登录时:
function checkPassword(pw, stored) {
  const [salt, hash] = stored.split(':');
  const test = crypto.scryptSync(pw, salt, 64).toString('hex');
  return crypto.timingSafeEqual(Buffer.from(hash), Buffer.from(test));
}

💡 客户端那边,登录后别再存明文密码到 localStorage —— 存一个登录后服务器发的"令牌"(token)更安全。这步可以等哈希做完再说。

(2) /shop/inventory 别把密码放进网址

server.js:342-345:

app.get('/shop/inventory', (req, res) => {
  const username = req.query.username;
  const password = req.query.password;   // ← 密码出现在 URL 里

为什么要改: 网址会被写进服务器日志、Cloudflare/代理日志、甚至浏览器历史记录。密码躺在网址里 = 到处留底。

怎么改: 把它从 app.get 改成 app.post,密码从 req.body 取(跟 /shop/buy 一模一样),客户端那边对应的请求也改成 POST + body。

---

🔗 相关 / Related: PR #3 已经把"XSS + 明文密码"这个危险组合里最危险的一半(XSS)干掉了。这个 issue 是把另一半也补上 —— 等将来真要上线,你就两头都稳了。不急,慢慢来。做得很棒!🔐

[longmaolab]

2026-08-11 复查：这个 issue 里的两条都做完了，关掉。 逐条核对如下。

✅ (1) 密码哈希 — 已完成（commit 7bed70a）

• package.json 里有 "bcryptjs": "^3.0.3"
• server.js:53 const bcrypt = require('bcryptjs')
• server.js:58 hashPassword() 用 bcrypt.hashSync
• server.js:71 登录走 bcrypt.compareSync

比 issue 里建议的 crypto.scrypt 更进一步的是，代码里还处理了一个当时没想到的问题：这个进程同时在跑实时 FPS，每次商店请求都跑一遍 bcrypt 会卡住事件循环。做法是 bcrypt 只守磁盘，验过一次的密码把 SHA-256 记在内存里（verifiedPasswords）应付重复校验——内存里存哈希不存密码、不落盘。这个取舍写在 server.js:47-52 的注释里了，写得很清楚。

✅ (2) 密码不再进 URL — 已完成（commit 2619905）

• server.js:391 app.post('/shop/inventory', …)
• server.js:400 旧的 GET 保留但返回 405，还附了原因：use POST /shop/inventory with {username, password} in the body — a password in a URL ends up in server logs

保留 GET 并解释原因比直接删掉好，老客户端不会莫名其妙 404。

---

⚠️ 只剩正文里那条 💡 附注没做，已单独开了一条

issue 正文里那句「客户端登录后别再存明文密码到 localStorage，存 token 更安全」还没做 —— public/game.js:17957 现在仍然是：

localStorage.setItem('pvp_user', JSON.stringify({ username: name, password: pass }));

game.js 里也还没有任何 token 相关代码。这是独立的一件事，单独开在 #12，这条就关了。

做得很好 🔐 —— 服务端这两条是这个项目里最该修的安全问题，都收掉了。