爲什麼通常不在$ _POST中自動填充密碼字段？

在許多不使用AJAX的網站中，註冊表單通常會在失敗的嘗試中保留所有輸入數據，但是，通常密碼字段必須由用戶重新填寫。

我的問題是，爲什麼網絡開發者選擇這樣做？我的第一個想法是，他們試圖阻止惡意腳本在頁面加載時竊取密碼，但是，他們可以輕鬆地通過onKeyUp來做到這一點。

有什麼想法？

2013-01-02 AM-

我想象它背後的想法是，一個響應不應該包含密碼。如果輸入的值在響應中設置，則響應包含一個密碼。 – David

這似乎比瀏覽器行爲更重要。 – BoltClock

這是一個很好的安全做法，密碼不應該保存或準備好自動完成（取決於你的偏執程度），並且如果他使用的密碼不符合安全要求，爲什麼還要保留它？ –

瀏覽器具有專門用於密碼的功能，並且如果用戶明確允許瀏覽器保存僅限。大多數瀏覽器將問'你想存儲密碼嗎？'

你可以進一步保持一個主密碼來保護保存的密碼，當用戶不在他/她的機器上。

IMO，我不覺得保存密碼是錯誤的，因爲我讓瀏覽器保存我的密碼，所以我通常傾向於使用更強的密碼，因爲我傾向於使用自動生成的密碼，這通常很困難記住。此外，它可以幫助我避免使用多個網站的單個密碼變體。

有通過它，你也許能夠嗅探密碼，不管你是否保存與否的各種方式。網站通常有一個密碼恢復功能，可以鏈接到我的手機，以防萬一出現密碼破壞。

因此，網站應該允許用戶在瀏覽器中保存的密碼，這使對用戶的責任，這是他/她的決定如何，他/她想要使用的密碼。

2013-01-02 16:22:48

因爲自動填充字段，如果你看一下標記，你會看到類似<input type="password" value="YOURPASSWORDHERE" />這是不是安全的那麼大。獲得標記比根據XSS監視JS事件更容易，因爲我可以請求一個頁面比我可以用JS處理DOM更容易。

2013-01-02 16:08:10

這不是關於腳本，網站需要信任在其上下文中運行的腳本。

瀏覽器經常緩存頁面標記。您可能不希望在緩存中擁有密碼。

2013-01-02 16:20:58 CodesInChaos

回答