打开浏览器，审查按F12，元素点一下那个小箭头，密码再点一下密码框——密码就出来了。审查这不是元素什么黑客技术，是密码每个前端开发者每天都在用的功能。审查元素，审查右键检查，元素改一下type属性，密码明文密码直接躺在你眼前。审查

我第一次知道这事的元素时候，正在帮朋友处理一个老旧的密码后台系统。他忘了密码，审查管理员账号又登不进去，元素急得团团转。密码我让他打开登录页，F12，找到那个``，双击，把`password`改成`text`。回车。密码框里的星号瞬间变成了明文。他愣了两秒，说了一句：“就这？”对，就这。

浏览器从来就没打算帮你藏密码。它只是用`type="password"`这个属性，把输入的内容渲染成圆点或星号。这个属性只影响显示，不影响数据本身。密码该传还是传，该存还是存。你把type改了，只是让浏览器别遮了，仅此而已。

有人觉得这算安全漏洞。不算。真正的漏洞是，有些网站把密码明文写在HTML里，或者用前端JS做校验却把真实密码硬编码在源码里。审查元素能看到的东西，本来就是发到你电脑上的东西。浏览器不背这个锅。

我见过更离谱的。某内部管理系统，登录时前端先请求一个接口，返回该用户名的密码明文，然后JS比对输入值是否一致。对，你没看错，密码是前端比对的。打开Network面板，点一下登录，请求响应里直接躺着`{ "password":"admin123"}`。这种设计，审查元素都不用，抓个包就完事了。

还有一种情况：自动填充。Chrome保存了密码，你打开登录页，密码框自动填好了。这时候你F12改type，密码直接显示。这不是你破解了它，是浏览器本来就知道密码，只是帮你遮着。你让它别遮，它就不遮。

那怎么防？防不了。只要密码到了前端，用户就有办法看到。你能做的只有一件事：别把敏感信息放在前端。密码校验放后端，token放httpOnly cookie，别在JS里存明文。至于用户自己电脑上浏览器显示什么，那是用户的事。

有人会问：那我在密码框上禁用右键、禁用F12呢？没用。F12是浏览器级别的，你禁不了。就算你禁了右键，用户还可以用菜单栏打开开发者工具。就算你检测到开发者工具打开就跳转，用户还可以用手机浏览器、用抓包工具、用改hosts的方式绕。前端安全的核心原则就一条：假设用户能看到一切。

我平时做代码审查，看到前端里出现`password`、`secret`、`token`这些词，直接标红。不是一定有问题，但大概率有问题。有一次看到一个项目，JS文件里写着`const ADMIN_PASSWORD = "xxx"`，我截图发群里，开发还回了一句：“这是测试用的。”测试用的也不行。上线之前删掉，这是基本操作。

审查元素查看密码，本质上是个“显示层”的问题。浏览器把密码遮住，是给你旁边的人看的，不是给用户自己看的。用户自己永远能看到自己的密码。你改type也好，看Network也好，翻LocalStorage也好，只要数据到了你的机器上，你就拥有它。这不是漏洞，这是常识。

下次再有人跟你说“我忘了密码”，你可以让他F12改一下type。但别拿去干坏事。看完就关掉，别截图，别传播。这玩意儿就跟撬锁一样，你知道原理就行，真去撬别人家的门，那就是另一回事了。

(责任编辑：时尚)