盼大佬解答,前端加密到底是不是脱裤子放屁?

2024-03-20 16:16:27 +08:00
 userKamtao

闲暇之余,探索了一个小伙伴的开源网站,无意中发现了他的修改密码接口,是明文传输的,如下图。

后来我跟他反应了这个问题,我的观点是应该在前端 md5 加密一下,他说,他在后端做了加密处理,明文传输没问题,网站是 https ,前端加密不就等于脱裤子放屁吗?

和他几番讨论之后,无果,也有几个小伙伴觉得前端加密等于自己骗自己。

我经验比较单薄,以至于没有什么实际上的论点去论证,希望有大佬解答一下,这种场景在前端加密有没有意义。

35325 次点击
所在节点    程序员
336 条回复
justFxxk2060
2024-03-20 16:20:09 +08:00
HTTPS 加密的情况下,如果密码以明文形式发送,那么在服务器端(如果被攻击者侵入)仍然可以看到密码的明文
NessajCN
2024-03-20 16:20:11 +08:00
https 的话前端再加一次密确实没啥意义
wangtian2020
2024-03-20 16:21:01 +08:00
网站是 https ,前端加密不就等于脱裤子放屁吗
musi
2024-03-20 16:21:19 +08:00
1. md5 是摘要算法不是加密算法
2. 你在前端加密是想取得什么样的结果?是想提高安全性?还是防脚本小子?前者加不加密都一样,后者还是能防一些小白的
V2April
2024-03-20 16:22:00 +08:00
@justFxxk2060 如果服务器端被攻击那你密码不是怎样都会泄露吗?
iapplebear
2024-03-20 16:23:05 +08:00
QA 说我的表单密码没加密,然后我 btoa 一下就糊弄过去了。
justFxxk2060
2024-03-20 16:23:23 +08:00
@V2April 这种情况下,他拿到的只是 md5 ,也就是你这个网站密码可能丢失,不一定影响用户的其他账号。
userKamtao
2024-03-20 16:23:37 +08:00
@V2April 只是你的密码的 md5 被泄漏了,你的密码没泄漏,像我很多平台同密码的。
HFX3389
2024-03-20 16:23:42 +08:00
HTTPS 只保证通信过程的安全,不保证服务器上数据的隐秘性。
前端加密可以防住很多脚本小子,但如果真要爬,分析分析还是能爬的
FrankAdler
2024-03-20 16:24:04 +08:00
他说的对
shyangs
2024-03-20 16:24:23 +08:00
伺服器端被攻擊者侵入,攻擊者直接替換前端為他自己寫的前端,這樣前後端都是攻擊者掌控了,明文密文都無救.
RightHand
2024-03-20 16:24:24 +08:00
有点用但不多,防中间人(比如公司电脑加域,签根证书)偷密码,然后猜测你其他网站的密码(无聊的人)
nomagick
2024-03-20 16:24:47 +08:00
加密信道明文传本身没问题,但需要注意衍生的风险,比如日志暴露明文密码之类的,

Google 都是直接传的,我觉得可以终结这个讨论。
FengMubai
2024-03-20 16:24:52 +08:00
加密这个词不对, 也不该用 md5. 应该用 sha256 哈希一下, 为了密码明文不对服务端暴露. 同时, 服务端应该加盐再哈希一次, 为了防止彩虹表撞库
wu67
2024-03-20 16:25:08 +08:00
https 报文前端加密确实是脱裤放屁呀.

换个角度来说, https 其实就是保证传输通道在某种程度上的可靠性, 如果你客户端或者是服务器都被挂马了, 那传输过程加不加密又有什么用呢
k9982874
2024-03-20 16:25:35 +08:00
你密钥放在前端加密有啥意义?自己骗自己?
Pastsong
2024-03-20 16:25:51 +08:00
有用但不多,基本等于脱裤子放屁
musi
2024-03-20 16:25:53 +08:00
@justFxxk2060
@userKamtao
#7 #8
不敢苟同,你都攻破服务器了,替换个静态资源很难吗?我直接替换个不加密的页面不就行了?
justFxxk2060
2024-03-20 16:27:23 +08:00
@musi 你替换静态资源可能能欺骗一点时间内的用户密码。
如果你记录日志,你可以长期拿到明文( md5 )
Lockroach
2024-03-20 16:27:25 +08:00
都用了 https 了,再加密不就相当于自己骗自己吗

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://yangjunhui.monster/t/1025454

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX