发现一个 chrome 的安全隐患，吓得我赶紧把自动保存的密码都删了

[RogerHzb]

我是 windows 10， chrome 设置里已保存的密码，是可以看明文的， 验证方式出人意料，竟然是 windows 的登录密码， 一般习惯下，windows 登录密码应该算是密码里级别最弱的， 谁没事设置一个复杂的密码每天都得登录好几次的=。= 按我的思维，应该得验证 chrome 账户的密码吧？

总的来说呢，只要我有了你的 windows 电脑的登录密码， 就可以打开你的 chrome 查看所有你自动保存的网页密码， 所以自动保存密码的时候要再慎重一点了

[konakona]

Mac 也是这样的啊。
这个机能貌似么有问题啊- -

[t123yh]

如果我有了你的登录密码了，我是不是可以在你的电脑上装一个键盘记录器之类的玩意儿，你的 Chrome 密码加密再复杂又有什么用呢。所以设置复杂的 Windows 登录密码才是正道。另外你说的“每天按好几次”，推荐你去了解一下 Windows 8 或者 10 的 PIN 登录功能。

[ihjk]

我的 win 登录密码借鉴手机滑屏，从 caps lock 滑到 enter。

[oonnnoo]

登录 Windows，电脑里文档、照片、小电影都可以看到，太可怕了，吓得赶紧删掉

[xian]

发现一个键盘的安全隐患，吓得我赶紧把我的键盘扔了

我是一个网吧键盘侠，我网上所有的密码都是我通过键盘输入的。 我发现我在输入密码的时候，隔壁是可以清楚看到我按了那些键的， 除非隔壁没人， 一般情况下，除非是穷死肥宅， 谁身边隔壁没个人啊=。= 按我的思维，键盘应该做成暗箱盲打，不能让隔壁看到你按了哪些键，不然密码还有什么安全可言？

手动 doge

[cai314494687]

把 input type="password" 改成 type="text"

我经常用这招看以前我保存的是啥密码，因为手机登录需要输入密码的时候，我自己都忘记是啥密码了

[jinhan13789991]

话说，我是用谷歌账户登录的 v2，现在 v2 密码是什么都不知道了，实名认证都不能搞了

[tabris17]

google 说了，如果攻击者能物理接触你的电脑，那么表单密码是否加密根本不会影响到攻击者窃取你的密码。

我个人也认同 google 的说法。加密反而多此一举

[xuboying]

@newbieo0O 没有意义的 f12，不能直接一些点眼睛么👀

[xuboying]

不是大新闻，不过提醒一下大家总是好的

[crystom]

好像 devtools 里面的 network 标签，对含密码的请求不会显示表单体

[GuLuDaDuiZhang]

关于谷歌的做法，不赞同也不反对。

不赞同是因为进了游览器，在设置里面就可以直接查看到保存的密码，这有特殊情况，电脑要给他人使用就容易泄露密码，这让人很不安啊。

不反对是因为查看密码大多数人不知道，把电脑给别人用的可能性也很小，你也肯定不会把电脑给不信任的人用，最重要的是绝大多数人对你的密码并不感兴趣。

比起担心保存的密码被人偷看，更应该担心的是密码被泄露。密码复杂度低，字典轻松攻破。密码全网通用，分分钟进社工库，然后被收入进字典。我两个常用密码几年前就进了社工库 T^T，虽然现在还在用。

[Phariel]

你这种想搞大新闻的我每年在 V2 上都能看到几个。。。

[lixs]

safari 也是啊～用密码插件多好～多平台同步也省事

[a4854857]

我觉得能让 chrome 保存的密码也不是重要的.

[SourceMan]

曾经有客户说，他在 devtools 下面的 network 选项卡下面，看到了明文传输的密码（ HTTPS 协议），要我们进行加密传输。

[robinlovemaggie]

难道你电脑丢了，Google 也要为你的密码丢失负责？况且这个自动填充是你在点同意的前提下才有。

[yonoho]

最大的安全隐患是楼主认为 [windows 登录密码应该算是密码里级别最弱的]

[usedname]

@Phariel #73 不然怎么丰富 block 列表呢？

[jarnanchen]

我认为楼主的提醒很有意义。
试了几个浏览器，基本上都是这样的实现。这也提醒了大家，电脑设置开机锁屏密码的重要性。