Django + React全栈项目用户登录密码传输安全问题及优化方案咨询

本地窃取密码的可能性确认 #

在全站部署HTTPS的前提下，密码传输过程是加密的，中途不会被窃听，但如果用户未锁定设备，其他人确实可以通过浏览器调试工具的「网络」面板，查看到未被清除的登录POST请求体中的明文密码，这个场景的风险是真实存在的。
如果网站未部署HTTPS，风险等级会更高，不仅本地可查，传输链路中任意节点都可以窃取明文账号密码。

该安全顾虑的处理必要性 #

这个风险属于设备端物理访问风险，常规互联网产品的安全设计默认用户会自行保障设备使用安全（比如离开锁屏），如果是普通ToC产品可以根据自身安全等级评估，不是必须处理的强风险点；但如果是面向高敏感场景的产品（如金融、政务、企业内部核心系统），则建议做对应优化，降低极端场景下的账号泄露风险。

原有教程方案的优化方向 #

• 基础前提：必须先部署全站HTTPS，这是所有Web应用安全的基础，没有HTTPS的前提下其他优化都没有实际意义。
• 前端加密优化：后端提前生成RSA非对称密钥对，将公钥公开给前端，用户提交登录信息时，前端用公钥对密码做加密后再传输，后端收到请求后用私钥解密再做密码校验，这样哪怕他人拿到网络请求记录，也只能拿到无法解密的密文，无法获取原始密码。
• 日志清理优化：前端登录请求成功后，直接做页面硬跳转而非前端路由跳转，浏览器默认会清除跳转前的网络请求日志，也可以在登录逻辑中加入手动清理临时存储的密码相关变量的逻辑，避免密码残留在内存中。
• 后端常规安全逻辑保持不变：仍然要做登录失败次数限制、防暴力破解拦截，密码入库必须用bcrypt等带盐的哈希算法处理，禁止明文/弱加密存储密码。

正确实现参考 #

建议参考官方权威材料：Django官方认证系统文档、Django REST Framework认证模块文档、React表单安全最佳实践、OWASP认证安全规范，这些内容都是经过行业验证的标准实现方案。

内容的提问来源于stack exchange，提问作者AlwaysLearning