在前端哈希密码是否是个不错的方案？

在这篇博客中，作者探讨了在前端哈希密码是否是一个不错的方案。文章首先指出，将密码哈希后存入数据库是为了防止运维人员直接查看密码，但如果将哈希过程放在前端完成，则对服务器来说，它实际上只是做了一次明文比较，这样运维人员仍然可以直接调用登录API获取账号权限。 文章接着讲述了腾讯公司的QQ在十几年前曾采用两趟哈希的做法来解决密码明文传输和运维人员登录问题。然而，这种做法实际上对防范中间人攻击并没有帮助，因为只要能抓到的包，就是能伪造的包。 作者回顾了当时网络安全状况较差的年代，例如ARP欺骗和中间人攻击等手段容易实现。然而，在RSA算法普及后，中间人攻击几乎不可能成功。如今，开发Web应用只需借助TLS，将密码原文直接发送给服务器就已经相当安全。 然而，我们仍然不能完全信任HTTPS，因为除了通信层面的防窃取，还存在许多其他攻击手段，例如浏览器插件可以直接阅读网页表单，以及假冒网页诱导用户输入密码等。文章最后指出，要真正解决这些问题，仅靠安全措施和算法远远不够，还需要提高普通用户的警觉性和判断能力，以及对基础安全领域的常识。 在这个背景下，我们不禁要思考：前端哈希密码真的是一个好的解决方案吗？如何在保护用户隐私的同时，确保网络安全？这些问题值得我们深入探讨。--GPT 4