Yii 1框架下不使用JS文件实现登录请求Payload中密码加密的方案咨询

你好呀，针对你在Yii 1框架里遇到的这个需求——不想用任何JS文件，却要让登录请求Payload里的LoginForm[password]字段以加密形式传输（而不是像现在这样显示明文pp12345），我来给你梳理下可行的思路和注意点：

首先得明确一个关键点：如果完全不使用任何JS（包括内联脚本），浏览器本身没办法对用户输入的密码做前端加密，因为浏览器端没有其他可执行的脚本环境。不过我们可以换个思路，用服务器端的方案来满足你的需求：

• 优先推荐：开启HTTPS协议保障传输安全
  虽然在浏览器开发者工具的Payload里你还是能看到明文密码，但HTTPS会对整个请求的传输过程做加密，第三方无法在网络链路中截获明文密码。这是最基础也最可靠的安全方案，你只需要在部署Yii1项目的服务器（Nginx/Apache）上配置好HTTPS证书即可，不需要修改框架代码。

• 实现Payload字段“加密显示”的服务器端方案
  如果你确实需要让Payload里的LoginForm[password]字段呈现为加密字符串，可以这样操作：

  1. 在渲染登录表单的控制器方法（比如SiteController的actionLogin）里，生成一个随机盐值并存在Session中：

     $salt = Yii::app()->security->generateRandomString(16);
     Yii::app()->session['login_salt'] = $salt;
     

  2. 调整登录表单结构：把原来的LoginForm[password]设为隐藏字段，同时新增一个供用户输入密码的普通字段（比如raw_password）。
  3. 在处理登录请求的控制器方法里，先获取用户输入的raw_password，用Session里的盐值做加密（比如用SHA-256哈希），然后把加密后的值赋值给$_POST['LoginForm']['password']，再执行后续的登录验证逻辑：

     $rawPassword = $_POST['raw_password'];
     $salt = Yii::app()->session['login_salt'];
     $encryptedPassword = hash_hmac('sha256', $rawPassword, $salt);
     $_POST['LoginForm']['password'] = $encryptedPassword;
     // 后续调用LoginForm的验证和登录逻辑
     $model = new LoginForm;
     $model->attributes = $_POST['LoginForm'];
     if ($model->validate() && $model->login()) {
         // 登录成功逻辑
     }
     

  这样一来，在请求Payload里，raw_password是用户输入的明文，但LoginForm[password]就是加密后的字符串了，满足你在Payload里看到加密值的需求。

需要注意的是，这种方案只是让Payload里的目标字段显示为加密值，核心的密码验证逻辑还是要和你系统里存储的密码哈希规则匹配，避免出现验证失败的情况。

内容来源于stack exchange