在客户端Wasm代码中存密码是否安全？Wasm能否抵御黑客分析？

首先直接回应你的核心疑问：哪怕把Wasm编译成非人类可读的二进制形式，也完全做不到阻止黑客提取敏感信息，更别说用这种方式在客户端处理密码登录了——这里有几个关键问题你需要明白：

为什么Wasm挡不住攻击者？ #

• Wasm本质是二进制字节码，但有大量成熟的工具可以反编译它：比如wasm-dis能把它转成可读的WebAssembly文本格式，针对.NET Wasm的反编译工具甚至能还原出接近原始的C#代码。你硬编码的密码"thisBeThePassword"会很容易被定位到，混淆只能稍微提高一点门槛，拦不住有经验的攻击者。
• 客户端的所有代码逻辑都是完全暴露的：用户可以通过浏览器开发者工具直接调试Wasm代码，在运行时拦截登录逻辑的执行——甚至不用反编译，就能直接看到密码对比的过程，或者直接修改逻辑跳过验证。

你的当前代码还有额外的风险 #

看你贴的代码，除了客户端验证的问题，还有两个致命漏洞：

1. 密码硬编码在客户端代码里，等于直接把密钥送给攻击者；
2. 登录成功后把密码放在URL参数里——这会导致密码出现在浏览器历史记录、服务器访问日志里，任何能接触到这些内容的人都能拿到密码。

正确的做法是什么？ #

如果想兼顾安全性和用户体验，建议这么做：

• 核心验证必须放在服务器端：永远不要在客户端处理密码校验。把用户输入的密码通过HTTPS发送到服务器，服务器用安全的哈希算法（比如bcrypt、Argon2）和存储的哈希值对比，永远不要存储明文密码。
• 客户端只做前置校验：比如检查密码长度、格式是否符合要求，这能提升用户体验，减少无效的服务器请求，但不能替代服务器端的验证。
• 登录成功后用安全令牌管理权限：不要用密码作为参数传递，应该让服务器颁发JWT之类的安全令牌，存在HttpOnly Cookie（推荐，能防XSS）或者安全的本地存储里，后续的管理区访问用令牌验证权限。

内容的提问来源于stack exchange，提问作者Stuart Aitken