如果安全和良好的风格是将密码安全地存储和处理,那么对于需要用户输入密码的网页也应该如此吧?
考虑以下示例。
考虑以下示例。
<script>
function copy() {
var text = document.getElementsById('text');
var pass = document.getElementsById('pass');
text.value = pass.value;
}
</script>
<input type=text id=text>
<input type=password id=pass>
<button onclick="copy();">copy</button>
在密码框中输入内容并点击复制按钮,哇,它就会被暴露给全世界。但如果你从密码框中复制粘贴,则会得到无用的数据。
考虑一下登录页面上包含的未由您控制的javascript代码数量(分析、页面流跟踪器、云端托管的脚本)。为了防止这种编程方式访问密码字段,Web浏览器是否应该提供自己的密码验证API呢?