.NET Web应用登录：如何防止账号密码在Form Data中暴露

你当前的措施里，POST表单提交本身就会让浏览器在开发者工具中显示Form Data明文——因为数据是在客户端以明文组装后发送的，HTTPS只能保障传输过程不被窃听，却拦不住浏览器自身记录提交内容；而ViewState加密和这个问题完全无关，它只保护ViewState里的服务器端数据。

下面是能切实解决这个问题的方案：

1. 客户端加密密码后再提交 #

在表单提交前用JS对密码加密，提交密文而非明文，后端用对应密钥解密后验证。推荐用RSA加密（公钥存在前端，私钥存在后端）：

前端示例（用CryptoJS） #

document.querySelector("#form1").addEventListener("submit", function(e) {
    e.preventDefault();
    const passwordInput = document.querySelector("#txtPassword");
    // 替换成你的RSA公钥加密逻辑
    const encryptedPwd = rsaEncrypt(passwordInput.value, yourPublicKey);
    passwordInput.value = encryptedPwd;
    this.submit();
});

后端解密示例（C#） #

using System.Security.Cryptography;
using System.Configuration;

public string DecryptPwd(string encryptedPwd)
{
    using var rsa = new RSACryptoServiceProvider();
    rsa.FromXmlString(ConfigurationManager.AppSettings["RsaPrivateKey"]);
    var decryptedBytes = rsa.Decrypt(Convert.FromBase64String(encryptedPwd), false);
    return Encoding.UTF8.GetString(decryptedBytes);
}

2. 改用Token-based认证（推荐.NET Core应用） #

如果是.NET Core项目，直接用JWT这类Token认证：

• 前端通过AJAX把加密后的密码发给后端接口
• 后端验证成功后返回JWT Token，后续请求只带Token，不再传输密码

3. 减少敏感数据暴露次数 #

登录成功后，后端设置HTTP-only Cookie存储认证信息，后续请求自动携带Cookie，不用再提交用户名密码。同时可以给表单加autocomplete="off"，避免浏览器保存密码：

<form id="form1" runat="server" method="post" autocomplete="off">
    <input type="password" name="password" autocomplete="new-password" />
</form>

注意：这个只是辅助手段，不能阻止开发者工具查看提交的数据。

重要提醒 #

HTTPS一定要保持启用——哪怕做了客户端加密，HTTPS也能防止加密后的密文被中间人篡改；另外存储前端公钥时，要避免被恶意替换，不然加密就失去意义了。

内容的提问来源于stack exchange，提问作者Jay