https真的安全吗，加密登录其实不简单

　　登录，是做web开发的程序员做项目第一接触到的模块，看似简简单单的登录背后囊括了编程知识的方方面面。

　　登录安全吗？密码会不会泄露？

明文传输时代

　　互联网开始的时候，登录确实是使用明文校验的，甚至数据源中存的也是明文密码，后来随着黑客的诞生，和隐私安全保护的考虑，密码开始使用密文存储。

　　于是认证的过程变成了这样，用户注册时，数据库保存了加密的密码，当用户登录时，web系统接收到用户的明文密码，系统加密后与数据库中的加密密码再作比较。

　　可是，我们发现传输密码的过程还是传的明文！只要我截获了你注册或登录的数据包，你的密码就泄露了。

https时代

　　https诞生了，它不仅可以将你要传输的密码加密传输，甚至你的所有请求数据在网络传输中都是加密的，别人拿到数据包也没用。

　　但，https真的安全吗？

　　https是加密传输， 所以抓到包也没有用， 是密文的。 真是的这样吗？ 有人做实验抓到了某网站登录的密码， 是明文的，结果多试几个， 结果抓到了许多https传明文密码。

　　为什么用https抓包, 还是能看到明文内容呢？ 这里我们要理解https的栈流程， 梳理一下就知道， 加密层位于http层和tcp层之间， 所以抓到的http层的数据并没有加密。 同理， 在后台接收端， 经历解密后， 到达http层的数据也是明文。 要注意， https不是对http报文进行加密， 而是对传输数据进行加密， 最终还原http原始报文。

　　这里不得不再次强调，https保证的是传输过程中第三方抓包看到的是密文。客户端和服务端，无论如何都可以拿到明文。其实大多数人认为https加密传输安全是因为没有真正理解https的真实原理。

自定义加密传输时代

　　上边说道，https能避免传输的过程中，如果有人截获到数据包只能看到加密后的信息，但是防不了在服务端和客户端截取数据的人。服务器端自不必说，如果黑客都能取到服务器的数据了那你加不加密估计也没什么意义了，但客户端就不一样了，许多密码泄露都是在客户端泄露的。所以客户端密码保护很重要！显然https这点就做不到了。那么，就只有写程序的人自己定义加密方式了。

　　我们看百度的登录的过程

　　我们可以很easily的看到，在登录之前，百度前端获取了一次公钥，用公钥加密后传输加密后的密文密码，这样做到了全流程加密传输。