10 天后也走了，，希望能找个有趣的公司做点有趣的事。

Ubuntu 吧，相对来说最稳定！ Unity 也是最好用的。

@wy315700 仔细想想确实是，但是其他的也一样的了。只要被拖库了，密钥都是明文的。

一种可行的思路，每次登录都用一个 Token ，服务端在 sesion 中保存 Token
客户端提交的是 hash(token,hash(hash(pwd),salt) 在数据库中保存的是 hash(hash(pwd),salt)
在服务端计算 hash （ token,保存的值)，然后比较， 不管对错，清除 token 。

自己不是做安全的，不知道这样还有什么问题。
一般这样应该差不多了，毕竟 https 要钱。

感觉楼主没有理解网络的应用层协议，动手用 Socket 做个简单的 echo 应用，然后实现一个玩具式的协议就可以极大的提高自己对应用层协议的理解！ HTTP 请求之类的也就没什么问题了！！

广州，，放假一样，，在家上班。