网页明文口令传输是什么

打开任何一个网站的网页登录页面，按下F12打开开发者工具，明文切到Network（网络）标签，口令然后输入账号密码点登录。传输如果你看到请求的网页URL是以http://开头，而不是明文https://，那你的口令口令刚才就是光着身子在网络里跑了一圈。

这不是传输什么科幻惊悚片的桥段，而是网页每天都在发生的真实数据泄露事件。明文口令传输，明文说人话就是口令：你输入的密码，网站没有做任何加密处理，传输直接以原始文本的网页形式，通过互联网送去了服务器。明文中间经过的口令任何路由器、交换机、WiFi热点，都像站在路边看明信片的人，能清清楚楚读到你写了什么。

我几年前帮朋友排查一个小型电商网站的问题，后台登录用的还是HTTP。当时我随手在公共WiFi下用Wireshark抓包，不到五分钟，就看到一个管理员的账号密码出现在数据包里，明晃晃的，连个掩体都没有。那感觉就像是看到有人把家门钥匙挂在门口垫子下面，还贴了张纸条写着“钥匙在这”。

为什么还有人这么干？原因挺复杂的。有些是历史遗留，老系统上线时HTTPS还没普及，后来改造成本高，就一直拖着。有些是开发人员觉得“内部系统无所谓”，或者“局域网里不会有坏人”。但这些想法都忽略了一个基本事实：网络路径上你不知道会经过谁的地盘。你以为是私密通道，实际上可能是人来人往的菜市场。

更麻烦的是，很多人喜欢在不同平台复用同一个密码。一旦明文口令在传输中被截获，攻击者拿到的不仅仅是你这个网站的登录权限，还可能顺手试出你的邮箱、网银、社交账号。一个环节裸奔，全链条遭殃。这不是危言耸听，撞库攻击就是这么干的。

当然，有些网站会做一层“伪加密”——前端用JavaScript对密码做MD5或Base64编码再传输。但这就像给明信片贴了张半透明的纸，稍微懂行的人撕掉就能看。真正的安全传输，必须依赖HTTPS的TLS加密层，在数据离开浏览器之前就完成加密，中间任何节点看到的都是乱码。

判断一个网站是否安全传输，最简单的方法就是看地址栏。没有那把锁，没有https://前缀，就别输入任何敏感信息。尤其是登录、支付、个人信息填写这些场景，宁可放弃操作，也不要冒险。

明文口令传输这件事，本质上不是技术难题，而是态度问题。HTTP协议诞生于1991年，那时候互联网是学术网络，没多少人考虑恶意攻击。但三十多年过去，网络环境早已面目全非。还坚持用明文传输的网站，就像住在现代都市里却坚持不装门锁——你可以说家里没什么值钱东西，但你的个人信息，在别人眼里可能就是值钱的。

下次在某个老旧的论坛、内部系统、或者某个不起眼的小网站上输入密码前，多看一眼地址栏。那一眼，可能就帮你省下了后面无数的麻烦。