Angular 5 + Spring MVC/Rest：如何隐藏Chrome开发者工具中的账号密码

嘿，这个问题可是登录安全的核心关注点，咱们一步步来拆解可行的解决方案：

1. 最核心的安全基础：启用HTTPS #

这是必须优先落地的措施——如果你的网站还在使用HTTP协议，不管前端做多少加密操作，攻击者都能通过抓包工具直接拿到明文的账号密码。HTTPS会对整个传输链路进行加密，第三方抓包工具只能看到乱码一样的加密内容，只有你的服务器能解密还原。

注意：在Chrome开发者工具里你依然能看到解密后的请求载荷，这是浏览器为了方便开发者调试而做的处理，但外部攻击者无法获取到解密后的内容（除非拿到服务器的证书私钥，这几乎不可能）。

2. 前端层面的辅助防护 #

虽然HTTPS是核心，你还可以在前端做一些额外处理来提升安全性：

• 结合动态盐值哈希密码：在前端对密码进行哈希（比如用SHA-256算法）后再提交，但要注意不能只做单纯哈希——否则攻击者拿到哈希值后可以直接用它模拟登录。建议登录前先请求后端获取一个临时动态盐，用这个盐和密码一起哈希后再发送请求，这样每次登录的哈希结果都不一样，即使哈希值被截获也无法重复利用。
• 提交后立即清空密码字段：登录请求发送完成后，立刻清空密码输入框的内容，避免密码在浏览器表单历史或内存中残留（虽然这不能阻止请求载荷被看到，但能降低本地场景下的泄露风险）。

3. 后端层面的安全加固 #

配合前端，后端也要做好安全闭环：

• 用Spring Security管理认证流程：Spring Security提供了成熟的安全框架，它会自动处理密码的加密存储（比如用BCryptPasswordEncoder），还能配置强制HTTPS跳转，防止用户通过HTTP访问登录页面。
• 绝对禁止明文存储密码：后端数据库里绝对不能存明文密码，必须用带随机盐的不可逆哈希算法存储，哪怕数据库泄露，攻击者也无法直接获取用户的真实密码。
• 添加登录频率限制：设置验证码或登录失败次数锁定机制，防止暴力破解攻击，就算凭证被截获，也能降低被滥用的风险。

要避开的误区 #

别想着用前端加密替代HTTPS——前端的加密逻辑很容易被反编译（比如通过Chrome开发者工具查看源码），攻击者可以直接复制你的加密逻辑，生成加密后的凭证模拟攻击。HTTPS才是传输安全的真正基石。

内容的提问来源于stack exchange，提问作者Atul