盼大佬解答，前端加密到底是不是脱裤子放屁？

[userKamtao]

闲暇之余，探索了一个小伙伴的开源网站，无意中发现了他的修改密码接口，是明文传输的，如下图。

后来我跟他反应了这个问题，我的观点是应该在前端 md5 加密一下，他说，他在后端做了加密处理，明文传输没问题，网站是 https ，前端加密不就等于脱裤子放屁吗？

和他几番讨论之后，无果，也有几个小伙伴觉得前端加密等于自己骗自己。

我经验比较单薄，以至于没有什么实际上的论点去论证，希望有大佬解答一下，这种场景在前端加密有没有意义。

[justFxxk2060]

HTTPS 加密的情况下，如果密码以明文形式发送，那么在服务器端（如果被攻击者侵入）仍然可以看到密码的明文

[NessajCN]

https 的话前端再加一次密确实没啥意义

[wangtian2020]

网站是 https ，前端加密不就等于脱裤子放屁吗

[musi]

1. md5 是摘要算法不是加密算法
2. 你在前端加密是想取得什么样的结果？是想提高安全性？还是防脚本小子？前者加不加密都一样，后者还是能防一些小白的

[V2April]

@justFxxk2060 如果服务器端被攻击那你密码不是怎样都会泄露吗？

[iapplebear]

QA 说我的表单密码没加密，然后我 btoa 一下就糊弄过去了。

[justFxxk2060]

@V2April 这种情况下，他拿到的只是 md5 ,也就是你这个网站密码可能丢失，不一定影响用户的其他账号。

[userKamtao]

@V2April 只是你的密码的 md5 被泄漏了，你的密码没泄漏，像我很多平台同密码的。

[HFX3389]

HTTPS 只保证通信过程的安全，不保证服务器上数据的隐秘性。
前端加密可以防住很多脚本小子，但如果真要爬，分析分析还是能爬的

[FrankAdler]

他说的对

[shyangs]

伺服器端被攻擊者侵入，攻擊者直接替換前端為他自己寫的前端，這樣前後端都是攻擊者掌控了，明文密文都無救.

[RightHand]

有点用但不多，防中间人（比如公司电脑加域，签根证书）偷密码，然后猜测你其他网站的密码（无聊的人）

[nomagick]

加密信道明文传本身没问题，但需要注意衍生的风险，比如日志暴露明文密码之类的，

Google 都是直接传的，我觉得可以终结这个讨论。

[FengMubai]

加密这个词不对, 也不该用 md5. 应该用 sha256 哈希一下, 为了密码明文不对服务端暴露. 同时, 服务端应该加盐再哈希一次, 为了防止彩虹表撞库

[wu67]

https 报文前端加密确实是脱裤放屁呀.

换个角度来说, https 其实就是保证传输通道在某种程度上的可靠性, 如果你客户端或者是服务器都被挂马了, 那传输过程加不加密又有什么用呢

[k9982874]

你密钥放在前端加密有啥意义？自己骗自己？

[Pastsong]

有用但不多，基本等于脱裤子放屁

[musi]

@justFxxk2060
@userKamtao
#7 #8
不敢苟同，你都攻破服务器了，替换个静态资源很难吗？我直接替换个不加密的页面不就行了？

[justFxxk2060]

@musi 你替换静态资源可能能欺骗一点时间内的用户密码。
如果你记录日志，你可以长期拿到明文（ md5 ）

[Lockroach]

都用了 https 了，再加密不就相当于自己骗自己吗