关于用户密码安全

没有作PC端，仅仅移动端，求鞭笞（我是小应用，社区类型的。）

整体思路：客户体验>服务器压力>客户端复杂度

移动客户端：保存用户密码，以便于下次token过时时使用。

保存加密方式：iOS：keychain

              android:目前AES

（android理论上在手机被root+个人软件被彻底破解后，密码也能被搞出来，keychain就难度很大很大了，userDefaulter其实也只有手机被越狱获取权限后才有危险）

服务端：

md5（密码+盐）+密码错误尝试次数限制，由于自己身份验证请求，不会频繁发生（除了高级别操做，如改密码等），都是token代劳。

（理论上，应该在数据库和服务端关键代码被盗取后，知道了盐，而后md5字典碰撞测试，有必定概率破解）

好吧，由于我非专业，一我的摸索的，求在公司工做的大大么指点