2

Допустим, у нас есть форма, и в ней есть текстовое поле с вводом пароля:

<input id="pass" type="password" name="password" />

var pass = document.querySelector('#pass').value;
console.log(pass);

Таким методом можно вывести значение, которое записано в <input>.

Мой вопрос:

Мне кажется, это не безопасно, может, всем производителям браузеров скрывать это значение?
А при передаче методом POST в форме брать значение из ОЗУ, как вы считаете?

9
  • А вы думаете "document.querySelector('#pass').value" откуда берет значение, если не из ОЗУ?
    – DiDex
    26 янв 2018 в 10:23
  • Из ОЗУ, но мне кажется лучше не выводить это значение пользователю. А только при отправке формы
    – t3mnikov
    26 янв 2018 в 10:31
  • Аргументируйте почему?
    – DiDex
    26 янв 2018 в 10:33
  • Что если злоумышленник встроит свой js-скрипт на сайт и будет отслеживать нажатие каждой клавиши в поле и отправлять на свой сервер эти значения?
    – t3mnikov
    26 янв 2018 в 10:35
  • Если злоумышленник встроит свой js на сайт, то он сможет узнать пароль и без вашего участия
    – DiDex
    26 янв 2018 в 10:38

4 ответа 4

5
<input type="password">

придуман не для технической безопасности, а для сокрытия символов от чужих глаз только на мониторе.

2
  • 1
    Как минимум пользователь еще не может руками скопировать введенное значение)
    – yolosora
    26 янв 2018 в 10:34
  • @yolosora при физическом доступе это не проблема. F12 - console, document.querySelector('input[type=password]').setAttribute('type', 'text') 23 окт 2019 в 14:04
0

Это было бы хорошо, если бы он, к примеру, шифровался сразу, но как-бы смысла в этом нет, так как в браузере есть еще много мест на JS.

Когда ты можешь перехватить пароль например onkeyup и т.п.

Поэтому эти поля предназначены только для того, чтоб тот кто возле вас, не видел ваш пароль, или например вы показываете демо экрана и т.п.
Мое мнение, что это так.

0

Об этом стоит беспокоиться в последнюю очередь. Всё, что может быть украдено с данного поля на вашем сайте, вряд ли будет совершено по вашей вине. Исключением могут стать подгружаемые скрипты с рекламой, которые часто вызывают сомнения в безопасности у веб-разработчиков. Шифровать на стороне клиента в realtime дело сомнительное и даже бессмысленное (можно будет ваши алгоритмы подвергнуть реверс инжинирингу).

0

Есть скрипт, закрывающий лазейки для считывания паролей из полей ввода, а именно чтение атрибута value, смену атрибута type, доступ к паролю через FormData и считывание нажатий клавиш через клавиатурные события. Ссылка на скрипт: https://greasyfork.org/ru/scripts/384164-httponly-password-protection Скрипт можно использовать как user script или вставить на свой сайт на страницу с формами для паролей.

1
  • 1
    добро пожаловать на stack overflow на русском! пожалуйста, постарайтесь оставлять чуть более развёрнутые ответы. дополнить ответ можно, нажав править 23 окт 2019 в 13:31

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.