别说 op ，就是 CSDN 这种专业网站，不也是数据库明文保存的密码吗，程序员的弱//智行为永远比你想的还要弱//智一万倍，其实 op 说的没什么问题，业内早期的做法是 md5 ，不过改了，后来基本改为了①加盐+②md5 ，这样可以保证服务端也不会知道用户的密码，而且保证传送过程中的安全，其实为什么不要单纯的 md5 ，因为容易撞库，就是已经有大量的 md5 密码的对照表了，大部分的密码是可以直接通过 md5 数据库反查出密码，另外如果你直接明文传送，那别人可以知道你程序的处理密码的逻辑，其实这是一种风险，https 这个其实很多人没搞明白，https 不是绝对安全的，依然会有伪造证书的可能，抓包也不是不可能，也就是依然会有中间人攻击的几率。