请 [吸词] 的作者出来解释一下密码明文传输的问题

[rambo92]

今天忽然发现所有的网站的请求里都有一个固定的 url 请求：POST https://jnexswpfgysrqlagwajs.supabase.co/auth/v1/token?grant_type=password
Request Body 携带了一个我常用的用户名和密码，而密码居然是明文的！！！
这让我很是震惊，密码泄露了？？？

于是开始排查：
1. 打开无痕模式：随便打开个网站，没发现这个请求，于是确定跟插件有关；
2. 关闭所有插件，一个一个打开，最后定位到 [吸词]

原因找到了，那么这个是为什么呢？
1. 为什么密码要明文传输？
2. 为什么所有网站的请求都会发这个请求？插件干啥了？

https://cnnbrba5g6haaugeu530.baseapi.memfiredb.com/storage/v1/object/public/images/public/1.png

[FTLIKON]

@rambo92 MD5 摘要算法不是加密算法.

[june4]

都 https 了，再加个密简单多此一举，除非你认为 https 可破解。
如果是本机被木马，那加个 md5 也防不了，浏览器插件都可以读取 html 页面，完全可以监测到 html 里的 password 控件并直接取里面的密码回传，加密加了个寂寞。

[povsister]

@mohumohu #16 谢谢，承包我今天的笑点

[rambo92]

@FTLIKON 我没说过 MD5 是加密算法啊。

[FTLIKON]

@mohumohu 还真是，我发现每隔一段时间这个问题就会蹦出来讨论，看来这个问题已经是小白判断器了

[bertonzh]

@kera0a 真正搞过后端服务的都知道，放 URL 跟放 body 差别太大了。
放 URL 里面，你的密码会被保存到 N 个日志库里面。

[InkStone]

其实关于 https 传输明文密码这个问题，答案是很确定的。

它肯定没有传输加盐哈希安全，但对于 99%的情况足够安全。

当然，1%并不是一个很低的概率，所以现实中我们也可以看到因为明文传输、存储密码导致的大规模安全问题已经发生很多次了。

[d7101120120]

在没有中间人攻击的情况下，从外部抓包是无法获取到 https 请求的 url 的参数的，至于这样做是否合适其实也没有统一的标准。

[FTLIKON]

@Jirajine 你的观点只使用于 http 的网络请求，除非您认为 https 是可以破解的

[mohumohu]

我觉得 OP 可以换个更有力的标题：
请 Google 出来解释一下密码明文传输的问题
请 Github 出来解释一下密码明文传输的问题

[hefish]

这个。。。 [吸词] 这个是干啥用的东西？

[rambo92]

@mohumohu 本帖的第二个问题被忽略了，大家都在讨论明文传输的问题


@june4 前端可以扩展到 Web 、iOS 、Android 等等

[InkStone]

@FTLIKON 因为证书误用导致的 https 破解其实并不罕见。

其实就算证书没误用，如果 ciphersuite 配的不对，也完全有可能被破解（不过说实话现实中没见过类似的攻击案例，只在 PoC 中见过）

[milzero]

@mohumohu #30 Github：爱用用，不用滚！！！

[zero47]

@rambo92 明文入库确实是该死的，但明文传输不代表明文入库，不明文入库应该是每个程序员的基本素养吧。很多项目早些年因为多端，所以都会在服务端才做摘要。要是严格按照法律法规的话，不单单是密码，手机地址身份证都是要加密传输的

[bertonzh]

@YogiLiu 对的，放 Payload 或者 header 里面还好。如果放 URL 参数里面，又没有专门处理过（自动识别敏感字段并打码），搁任何大公司，百分百会被记录到日志里面，百分百会被安全拉高危工单。

[rambo92]

@mohumohu 挺有意思的，如果 Google 和 GitHub 也认为明文传输是合适的，那你们对；
而我坚持自己的观点。

[bertonzh]

如果所有网站都用同一个密码，这就是一个木桶问题，你无法保证所有网站所有环节都是安全的。
所以还是用唯一密码吧。

[Trim21]

你不跳校验不乱加根证书怎么会有中间人攻击的问题？

顺便，github 还真是在 https 下明文传输密码的。#16 发的帖子里的讨论你是一点都没看。

https://www.v2ex.com/t/1025454#r_14474726

[rambo92]

@zero47 嗯，是的；
不过还有日志打印密码的骚操作。。。 这个素养还真不是每个程序员都有的啊；基于此，那么在架构设计时确定前端 hash 后传输，也可以防止这些情况的发生。