意外发现幕布居然明文存储用户密码，还返回给了前端

[815979670]

通过浏览器 使用密码登录幕布，点了登录没反应，出于习惯看了一眼交互请求。
结果发现 幕布不但明文存储了用户密码，还把密码发送到了浏览器端，由前端做密码校验？
真要是这样就有点离谱了感觉

[LawlietZ]

老生常谈

[coolcoffee]

看返回字段就能猜到是后台偷懒直接用 select * from user 作为返回结果了。

[craftsmanship]

而且字段名还叫 encryptPassword🤣

[wancaibida]

草台班子

[putaozhenhaochi]

这。。。离谱

[jydeng]

说明也没有专业测试、安全。

[helone]

。。。这事情往前推 10 年，发生在 2015 年我也觉得很离谱，就算 CSDN 上一堆垃圾教程也没有教过让前端去验证密码的

[gam2046]

并未重现。

在密码不正确时



在密码正确时

[Oct1a]

已经被修复了

[815979670]

@gam2046 改个密码试试， 我这里显示的是我上一个密码，而且你这里返回了 encryptPassword 只是没值

[aaxx2xx]

幕布现在是做 flomo 那两个人接手的吧？倒是看到不少人说幕布丢数据的。
我自己对这个开发者印象也不是很好，所以幕布和 flomo 都很久没用了。

[gam2046]

@815979670 #10 >> 还把密码发送到了浏览器端，由前端做密码校验

这就已经不成立了，密码错误时，并不会返回任何有效信息，因此也不存在前端校验密码，至于验证通过后，后端发送了密码或者你说的上一次密码，这是另一回事了。


原则上已经通过验证的用户取得自己的密码，相对来说，并没有很大的安全风险。假设存在 cookie/token 泄露的情况下，即使服务端不返回密码，恶意攻击者也同样可以操作账户。

唯一可能的风险隐患就是 XSS 。

[weegc]

草台班子

[liubaicai]

显然不是前端做密码校验，而是密码存在用户表，返回用户信息没过滤

[ColdBird]

有点幽默了

[cwliang]

之前在某赛事购票网站看到过前端发明文验证码的。当时是换手机号了，但是之前的手机号还有积分能抵扣优惠，就想把之前账号找回来，然后就在控制台看到明文验证码，成功绑定新手机号。离了个大谱

[815979670]

@gam2046 #12 这样说的话 唯一的风险就是明文存储用户密码了

[exiaoxing]

让我想起来好像是哪个驾校在登录的时候会把密码拼到 url 中做跳转。。。。

[totoro52]

是密码正确才会返回整个用户实体，估计偷懒直接丢了整个实体出来，正常是要倒一下的

[Torpedo]

前端就算校验，也是根据后端返回做的逻辑
最离谱的还是明文存密码
其次是返回密码给前端做逻辑