Не хочу передавать пароль открытым текстом. Поэтому сделал такую схему:
1) на сервере генерятся строку их случайных символов (например, abcdef), она передается клиенту.
2) клиент вводит логин и пароль, к полученным символам дописывает пароль, получая abcdefpassword.
3) полученная строка хешируется и передается серверу
4) сервер тоже хеширует строку с паролем, взятым из базы.
5) сравниваем хеши, если хорошо - записываем вход и выдаем куку.
Какие потенциальные проблемы при такой схеме, кроме возможности кражи куки?
Какие используются варианты без кук?
