发现 github 在登录/session 的时候，直接提交了裸密码！

[mengjue]

[Livid]

在 https 尤其是 hsts 链接里只有你自己和服务器端可以看到这个密码。

[namelosw]

不然呢…

[mengjue]

企业里域内管理的计算机都会被看到，因为被信任了私有根证书。

[codehz]

前端搞骗自己的加密也是没有用的，顶多增加别人攻击成本（如果 https 不起作用，比如企业根证书），攻击者可以直接更改你的 js 拿密码