我有个方案不知道是否可行:
1,客户端发送用户名md5 (U_md5)到服务器,
2.服务器根据(U_md5)给这个用户生成一个新的md5临时字符串(L_md5),插入数据库.并返回该串给客户端.
3.客户端再将(L_md5)与用户密码运算得到加密密码md5(M_md5)发送到服务器请求操作.
4.服务器查找临时字符串(L_md5)和(M_md5)是否在数据库中,如果有允许操作并清除临时字符串(L_md5).

整体思路是:用用户名得到临时串---->用临时串和密码去取得服务器信任---->获得操作权限---->清除临时串

缺点: 并发时,临时串会被覆盖, waitting for a solution.......