怎么知道 网站是否直接明文保存密码_再来谈谈浏览器存密码这件事

上周末的时候，小编在家遇到有用户反馈功能使用问题，便借用媳妇的备用电脑测试下新做的密码导入功能，测试需要一份chrome浏览器导出的密码。因为实在懒得从自己电脑里去导出了，就准备把媳妇电脑的浏览器密码导出来测试一下。

于是，我打开她的浏览器(某使用Chrome内核的浏览器)，打开 「设置」，在搜索框搜索「密码」，找到里边保存的密码列表，然后准备按照Chrome浏览器一样的操作去导出密码。

上图为Chrome浏览器里导出密码的界面

但是，当我找到密码，摆在我眼前的却是这样，没有导出密码的按钮！？

一定是版本太老，于是我就给浏览器检查更新，更新到最新版本，打开一看，还是没有...

这时我还发现，不但没有导出，连显示密码都没有，这不科学啊，都是chrome内核的浏览器，你怎么这样优秀！？

人民群众的智慧是伟大的，我肯定不是第一个发现这个问题的，去秘迹搜一下不怕找不到办法。

一搜就发现，已经有很多人发现这个问题了，有知乎大神给的解决方案：

用开发者模式、修改网页编码、还只是在填充框里看见密码，这不科学啊，作为一个业余测试工程师，我这是在我老婆的电脑上，我应该模仿她的操作习惯！浏览器的开发者模式、修改编码这是一个文科生可以理解的概念吗？知乎大神也不行啊。

而且这还不是导出，改完了只能在密码输入框里看见密码，有100条就要去100个网站这么操作。我要不是懒，我才懒得找到这些密码。

既然大神都没有办法，那就去找上帝吧，去浏览器的论坛问问，他们的开发工程师总能有办法吧！

上图为工程师的回复

好吧，还以为是程序缺陷，没想到是官方设计!官方设计!官方设计!

这样做也是很有道理的，毕竟，道路千万条，安全第一条。

这种安全为重的设计值得认可，但是不知道后台设计够不够安全？

小编突然觉得充满动力，先不去管导入密码的测试了，要先看看这家浏览器的密码是不是足够安全了。

作为chrome内核的浏览器，虽然界面有很多调整，但后台架构都是和chrome一致的，chrome适合的工具它也一定适合，先去搜索下chrome密码导出工具，还真不少，而且还有开源的产品可以学习。简单的说，chrome就是用户系统密码将用户保存在浏览器的密码加密保存在一个SQLite数据库里，保存在电脑里\Chrome\User Data\Default\Login Data 文件中，导出工具就是对这个文件执行一下win32crypt.CryptUnprotectData函数，调用系统解密就可以直接解密出里面保存的密码。换言之，任何程序里面只要使用解密命令就能用当前系统密码去解密chrome的密码文件，就可以查看到把chrome保存的密码。相比而言，火狐浏览器的设置还是安全一些，保存的密码需要一个单独的密码加密，这样外来程序要访问时必须输入密码，而不是和系统喊一句给我解密就行了。

既然知道chrome的办法，试试管不管用，按照谷歌chrome的目录结构，很自然的找到浏览器里的User Data\Default\文件夹，里面果然有Login Data 文件，开心。

把这个文件复制到chrome的User Data\Default\里，替换掉chrome的密码保存文件，再执行下密码导出工具，密码列表就导出来了。下图，就是我在浏览器里保存的密码。

小编吐槽一句，即使界面设计上没有设计导出按钮，看起来不会泄露，可后台没改还是不行啊！

那难道没有安全的保存浏览器密码的办法吗？

没事，他家不是还有安全浏览器吗(另一个Chrome内核的浏览器)，也拿过来试试。

安全浏览器使用单独的插件来保存密码，已经找不到原来的密码管理器操作界面。

界面上没有，去到浏览器的存储目录，也找到不User Data\Default\Login Data文件了，依靠chrome导出工具导出的方案也没戏了。

看来这密码牢牢的留在安全浏览器自己手里，别人是没机会看到了？

思来想去，浏览器密码管理器存储的密码无比安全了，但它还必须提供密码填充功能，按知乎大神的办法，在每个网站的登录框还是能找到密码。虽然自己想看见密码需要用修改网页代码才可以，但是别人密码管理器插件不需要啊，在浏览器里增加一个密码管理器插件，清除浏览器保存的cookie，再打开要登录的网站，在网站点击登录的时候，新来的密码管理器就会弹出提示咨询是否把密码存到它的数据库。这样，只需要挨个网站点登录，密码就可以被“导出”到别的插件里，再从插件里导出和查看了。

大功告成，但回头想想，就算浏览器按这个方法去把密码保护的严严实实，密码在填充的时候还是要用明文显示出来，而且浏览器里装过的插件也一样可以看到密码明文。如果上网时稍不注意，在网站里点击下载了什么上网插件，那么以后在浏览器输过的秘密不是都要被别人看上一遍？？？就算使用了密码管理器，最后密码填充和复制密码的时候，还是一样存在危险。

拿什么保护你，我的密码...

我的电脑安全吗？

出厂时的确很安全，每次有补丁立马升级也会很安全，只安装原厂正规软件也很安全。

但是，我们有几个人是在规范的使用windows？有多少人是用计算机管理员权限在运行？从网上搜索下载软件的时候，有几个是从官网下载的？

这样对比起来，还是秘迹更安全呀！它的保险箱及跨屏登录功能，在每次要登录网站的时候，直接在手机上访问网站登录，输入密码，再把登录好的页面传给电脑浏览器。这样电脑浏览器从头到尾都接触不到密码，也就没有了密码泄露的可能。密码一下就更安全了。

-END-

推荐相关阅读

快去看看你浏览器上存了多少密码！赶紧删掉！#3

如何给自己各种帐号编一个安全又不会忘记的密码？