内容摘要：打开浏览器的开发者工具F12），切到Network面板，勾选Preserve log，然后随便找个需要登录的网站输错一次密码提交。找到那条名为login或者auth的请求，点开Headers，往下翻到

打开浏览器的何查开发者工具（F12），切到Network面板，看网勾选Preserve log，页密然后随便找个需要登录的码传网站输错一次密码提交。找到那条名为login或者auth的输明请求，点开Headers，文还往下翻到Form Data或者Request Payload——如果密码字段的何查值就是你刚敲进去的明文，那这个网站就是看网在裸奔传输。

我上周刚测过几个电商站，页密有个卖手工艺品的码传平台，密码直接躺在请求体里，输明连个Base64编码都没做。文还这不是何查个例，很多中小型网站压根没考虑过这个问题。看网你可能会想，页密现在不都强制HTTPS了吗？确实，地址栏挂把小锁的网站越来越多，但HTTP和HTTPS是两码事——前者传输的报文完全透明，任何中间节点都能像看明信片一样读到你输入的密码；后者则是把内容塞进加密隧道里，抓包也只能看到一堆乱码。

判断方法其实特别简单：看请求URL的协议头。如果是https://开头，那密码在传输过程中是加密的，理论上抓包工具看到的密文无法直接还原。但这里有个坑——有些网站虽然首页是HTTPS，但表单提交的action地址却指向HTTP。我遇到过一家做在线文档的，登录接口偏偏写成http://，浏览器会直接警告不安全连接，可不少用户照样点“继续访问”。这时候密码就相当于在大街上裸奔，WiFi蹭网者用个Wireshark就能截获。

更隐蔽的情况是混合内容。页面本身是HTTPS，但加载了HTTP的脚本或图片，虽然密码字段本身走加密通道，可如果前端JS被中间人篡改过，密码可能在提交前就被劫持了。这时候你看Network面板的请求，密码还是密文，但实际已经泄露了。检测方法：切到Console看有没有Mixed Content的警告，有的话就得留个心眼。

还有个土办法，但特别直观——退出登录状态，在Network面板里找到登录请求，双击那条记录，浏览器会新开一个标签页显示请求详情。如果地址栏是http开头，密码明文躺在Query String Parameters里（就是URL问号后面的参数），那这个网站的技术负责人应该被拉去写检讨。因为GET请求的参数会留在服务器日志、浏览器历史记录、代理服务器缓存里，等于把密码写在便利贴上贴满了公共厕所。

最后说个反直觉的观察：有些网站在Network里看着是明文，但传输层实际是安全的。这是因为开发者工具显示的是浏览器解析后的数据，而真正的HTTP报文可能经过加密。想验证的话，用Fiddler或Charles这类代理工具，如果能看到同样的明文，才是真的裸奔。我测过几个银行系网站，他们会在前端用JS对密码做RSA加密后再提交，Network里看到的是加密串，可这只能防止后端日志泄露，对防抓包意义不大——因为加密逻辑全在前端代码里，逆向一下就能还原。

所以结论很简单：八成以上的密码泄露事件，问题出在传输层。你只要养成看协议头的习惯，再偶尔抽查几个关键请求，就能避开大部分风险。要是发现哪个网站用HTTP传密码，别犹豫，立刻改密码并换个平台——这就像银行柜台不设防弹玻璃，你敢往里存钱吗？