发现一个 chrome 的安全隐患，吓得我赶紧把自动保存的密码都删了

[RogerHzb]

我是 windows 10， chrome 设置里已保存的密码，是可以看明文的， 验证方式出人意料，竟然是 windows 的登录密码， 一般习惯下，windows 登录密码应该算是密码里级别最弱的， 谁没事设置一个复杂的密码每天都得登录好几次的=。= 按我的思维，应该得验证 chrome 账户的密码吧？

总的来说呢，只要我有了你的 windows 电脑的登录密码， 就可以打开你的 chrome 查看所有你自动保存的网页密码， 所以自动保存密码的时候要再慎重一点了

[evagreenworking]

@boboliu chrome://flags/#password-export; 胆子大的话还可以 chrome://flags/#PasswordImport

[tjsdtc]

控制台 $$('[type="password"]')[0].value 也能看到。

[iVeego]

这个问题很久前在 V2 就有过讨论了吧？到现在竟然还没有人回复：如果有人可以物理接触到你的电脑，就没有安全可言了。

[jason19659]

F12 抓个包都看到了

[nfroot]

不管你怎么牛逼

F12 后点登录，看网络请求，啥玩意都有，如果传输加密，自己搞个模拟表单也非常容易

总而言之，言而总之，一个坏蛋有你的密码，还能使用你的电脑，分分钟打开你的密码管理器是很容易的，就算打不开，做个模拟表单很难吗？

可能有人觉得提高了门槛，其实不然，如果需要这样做才能拿到密码，那么网上很快会出现这样的教程。反正操作起来不难。

[UnknownR]

@codeeer 查看的时候会像你要 credential，设置了 PIN 码会跳转到 PIN 码输入，不知道是不是只设置了 Windows Hello 了的才可以

[nfroot]

你想要方便，就会丢了安全性。特别是保存密码，保存了是为啥？是为了输入，就网页这种情景，第三方去做保存密码，想做到不泄露，太难，或者说不现实。

想要安全，首先你就得让浏览器无法让用户改变页面、脚本，你还得重新涉及网络请求，让嗅探无法存在，然后呢？然后你会发现，这玩意已经不能叫网页了，叫客户端吧。

然后你会发现，即便是客户端，也无法防止用户采用外挂的方式去盗号……

[twor2]

村通电

[ruimz]

@iVeego 3 楼 5 楼都说了: )

[iyaozhen]

这帖子每过一阵子就会出现一次

[lukunlin]

对，加个 ID，直接用 JS 也能直接获取的

[Kimyx]

虽然知道，但是 Chrome 密码自动填充还是太方便不舍得 我连 Enpass 插件都没用

[heiyutian]

能不能简单点，别的软件能不能把我 chrome 数据复制上传，然后他们就能查看我的密码？

[skylancer]

都能物理接触你的电脑了你还想要安全也是挺搞笑

[skylancer]

应付别人借电脑的需求我大概会建议卤煮开另一个账户或者直接用 Guest 会比较好

[Davidwg]

月经贴

为啥没人说 safrai 也是呢

[bao3]

照楼主这么说，mac 上没有浏览器可用了，safari，chrome 和 firefox 都是直接用登录密码来显示所有密码的。。。

[dndx]

浏览器保存密码肯定都是明文或者可逆加密的，而可逆加密基本上跟明文没啥区别，Chrome 这么做一点问题也没有。如果怕的话不保存就好了。

[Clarencep]

话说都有你电脑密码了，那都能随便操作你的电脑了。搞个木马或键盘监听器岂不更佳。

[ZRS]

Mac 的 Keychain 也是这样的..