用了https，账号密码还需要加密传给后端吗？

Question

用了https，账号密码还需要加密传给后端吗？
然后为什么

Answer 1

马里布 2022-09-20 09:21:11

首先，https可以保证密码在传输链路中（客户端发送到服务端的链路中）是安全可靠的。

先看一下典型的传输链路结构：

web交互 --> 浏览器https客户端（或客户端代理） ==> cdn或反向代理或LoadBalance服务 --> 业务服务

使用https协议可以保证在客户端和访问端点之间链路传输安全，这个链路只是整个传输过程的子集，在客户端之前、在访问端点之后可能都是裸露通信，在客户端设备中可能存在调试或信任链伪造等泄密的风险，在后端到达业务服务之前的服务网络中也存在泄密的风险，如果在客户端传输之前就使用了加密，在业务服务得到密文之后执行业务之前再使用解密，这就是端到端加密了，这就可以极大的避免因为复杂的传输链路（CA、中继、代理、路由分发等）带来的泄密风险了。

• 提问者 春去_秋来 #1

  意思就是说虽然使用了https，账号或密码还是要自己加密下更安全，是吧？