@dingyaguang117

安全是个体系 又不是只靠某一个技术来决定的

对于前端而言 保障数据传输中没法被人拦截篡改才是最重要的 至于要怎么脱敏 加密处理 存储这些都是后端该干的事情 远不是仅仅一个 HTTPS 就能做到的事情 而且刨去加密 授权 /鉴权也很重要啊 只不过加密反倒是所有问题里面最简单的一部分也是最成熟的一部分 才会老被人提起来

至于你不停推崇的微博 RSA 登录加密 各种爬虫模拟教程 技术解析满天飞 好像真的打算篡改也没你想的那么难吧？

利用成熟的 TLS 远比自己拍脑袋像一个看起来安全的方案要安全的多

而且用户名密码现在越来越少见了 其他很多验证技术都在解决需要明文密码的问题 只是国内的环境根本铺不开罢了

@dingyaguang117 而且这个问题是个死循环 不信任 https 带来的麻烦远比用户名密码大得多

刨去登录的部分 用户浏览的东西要不要加密？你要不要确认用户浏览的东西没有篡改 会不会让人直接拿到用户正在浏览的东西？ 这么做下去的话那就变成用户不要通过网络看东西了 直接抱着显示器去接着服务器看最安全？而且写所有问题的根源就是 HTTPS 不可信？

说真的 HTTPS 真这么不可信的话 AWS S3 早就用私有协议去设计了 而不是依赖于 HTTPS 了

StackOverflow 上也有人跟你有一样的观点 反驳的观点在这里 https://stackoverflow.com/questions/3391242/should-i-hash-the-password-before-sending-it-to-the-server-side

另外就是随便设计一个看起来安全利用了 RSA 的系统就真的安全么？ TLS 的设计并不是一拍脑袋就想出来的那么简单

@dingyaguang117 说实话 不受信的电脑为什么一定要从你的浏览器拿数据 键盘记录器之类的都多了

而且电脑都不授信了 人家拦截一下你的响应修改一下你的公钥有有多难呢 早些年运营商各种劫持还历历在目呢 甚至还有修改下载地址的呢 而且这是前端 又不是一个单独的登录用的 app

另外你写死公钥也是不安全的行为 这个也是跟安全相抵触的 只是让你的程序看起来了安全罢了 而且你在前端打算怎么校验自己收到的公钥就是没篡改的呢？ HTTPS 至少还依靠证书信任链来校验一下 你前端打算自己实现一套类似的信任链来校验你的公钥么？

微博那套逻辑放在 https 没有普及的年代有意义 但是现在都是 HTTPS 了 如果你连 HTTPS 都不信过 那你自然也信不过现在所有的加密体系了

而且不仅 HTTPS 很多其他的协议都用的 TLS 作为加密传输层 那么你觉得其他协议是不是都得自己再套一层加密才信得过？

@sampeng 在前端做 rsa 某方面来说就是在重新发明 TLS

而且对于不信任 https 某方面来说 其实也不信任 rsa 毕竟在密钥交换阶段用的实现也包含 rsa 如果觉得 https 不安全 那么你在前端实现 rsa 也是一样的问题

整个传输走的是 https 的话 重新发明一遍 TLS 有多大意义

@daveh rsa 的性能消耗很高的 而且这个也不仅仅是前端的事情了 后端不得先弄一套对应的加解密接口给前端用？ 而且你这么造一遍轮子是真的安全了还是只是自己感觉更加安全了？为什么 TLS 选择用对称加密而没用非对称来直接加密数据？

真觉得还是不要在安全领域自己造轮子

@nekoneko 用户都能把不信任的根证装电脑上了 人家真想拿数据还用得着这么费劲么

https 在绝大多数情况下提供了足够的保护了 只要不去用 TLS 1.2 以下的版本 那安全性绝对有保障的 不知道怎么说这个测试…… 就像当年大家问为什么 chrome 密码不加密一样 人家 google 就说了人家都能从你电脑上拿到文件了 还有什么做不到的

信用卡信息说实话感觉在 log 里面泄露的问题比 https 严重多了

https 再不安全 把整个互联网就没安全的了

建议你让测试当场给你表现一下如何解开 https 加密 顺便发个论文更好

Intel 这么搞怕不是自寻死路 直接堵死 DIY 市场了……

更别提还有更复杂的规格产量分配的问题 现在的型号*内存规格数目 想想都知道是供应链管理地狱……

如果刀法精准点 大容量内存只搭配高端 cpu 怕不是要被人骂死

Windows 10

说实话 11 真的退步…… 如果不是为了上 Intel 大小核 真不建议 11

我蛮好奇 GPL AGPL 的也会被一起训练么 如果这样的话可能会有法律问题额