前端 web 密码加密是否有意义

[a7217107]

个人认为意义不大，再被劫持的情况下，明文和 md5 是没有区别的吧。大佬轻喷

[lincanbin]

有必要，有的运维或者后台会记录包含请求体的 access log，如果不加密，log 里面就是明文密码。
这种在架构上垂直扩展&多层的公司很容易发生。

[yukiww233]

可以避免明文撞库吧

[liuzhedash]

我感觉任何提高攻击成本的设计都是有意义的

[lincanbin]

今年上半年，GitHub 就翻车过一次，在请求日志里发现了明文密码，然后就群发邮件通知用户改密码。

[SuperMild]

用 md5 是为了防止破解本站密码吗？

为啥用 md5 不用明文，是为了防止什么？

[yzkcy]

在一定程度上可以提高黑客攻击的成本，能加还是最好加上。

[no1xsyzy]

加密传输能防止旁听攻击啊，另外，网页不一定是热乎的，可能是从缓存里拉出来的未被劫持的版本
——但不要 md5，换一些专门加密密码的算法。

[ccbikai]

有那么一丢丢

[hanru]

用单向函数“加密”等同于明文，用其他方法加密也几乎不可能不犯错误，前端还是不要自己造轮子比较好。

[ladypxy]

基本没意义，前段加密，只要有心查下源代码，加密方式轻松找出来

[0ZXYDDu796nVCFxq]

有一定意义
因为 CDN，负载均衡系统，可能会发生 https-->http 的转换，另外一些审计、日志模块也是泄漏的风险。
所以前端进行 hash，后端加 salt 再 hash 是有意义的。

所以，一些更敏感的数据，比如支付系统的，应该用公钥加密给服务端，服务端解密后再处理数据。

[Exceptions]

@ladypxy 加密方式又不可逆。。。

[veightz]

意义是有的。
比如说传输的数据做非对称加密，可以在一定程度上提高传输链路上的安全性。

[jim9606]

首先，tls 保护不能省的，没有这个你连代码完整性都没法保证，不要用手撸加密库替代 tls。
前端密码推荐使用密钥衍生算法保护(argon2,scrypt,pbkdf2,靠前的更好),需要服务器生成 kdf key。这种算法专门对抗彩虹表，不过对于撞库防御效果较弱

[virusdefender]

聊胜于无吧

- 防止后端等位置打印日志直接暴露明文密码（本站还是可以直接用于登录）
- 证明服务提供商也不想看你的明文密码（虽然想看还有很多办法）

[otakustay]

能增加攻击的难度。安全领域并不是非黑即白的，如果小量成本能挡住小学 3 年级的傻子攻击，那就有意义

[icaca]

关键数据传输加密这是必须的。

[hoythan]

前端也可以 rsa 加密

[LancerComet]

现在不都 RSA 加密后传过去么

[VoidChen]

前端不加密，密码明文出去可能会被有心人用在关联账号上尝试，比如绑定的 QQ 或者微信什么的