前端md5加密

密码在前端做一次md5再提交，前端这事到底有没有用？加密我见过不少团队，前端hash一下就当安全了，前端后端直接存hash，加密结果数据库一泄露，前端撞库攻击跑得比谁都快。加密md5不是前端加密，它是加密摘要，不可逆，前端但可碰撞——这俩概念差了十万八千里。加密

实际场景里，前端我接手过一个老项目，加密登录表单就是前端纯明文POST。抓个包就能看到密码，加密连F12都不用开。前端后来改成md5，至少网络层不再裸奔了，但也就到此为止。真正的价值在于：防止密码在传输过程中被明文截获，以及避免数据库里存明文——仅此而已。

代码很简单，用原生JS就行。别引什么crypto-js，几十KB只为算个hash不值当。现代浏览器都自带`crypto.subtle`，异步的，但兼容性够用。要是非得兼容IE，那只能上老库，不过2024年了，谁还管IE呢。

async function md5(str) {  const buffer = await crypto.subtle.digest('MD5', new TextEncoder().encode(str)); return Array.from(new Uint8Array(buffer)) .map(b => b.toString(16).padStart(2, '0')) .join(''); }

注意`crypto.subtle`只能在安全上下文里用，也就是HTTPS或localhost。你要是部署在HTTP上，这API直接罢工。本地开发没问题，上线前记得配证书。

有个坑得提一下：md5的彩虹表太全了，弱密码一秒就破。所以前端hash之前，最好加盐。盐得是随机的，不能写死在前端代码里——写死等于没写。可以这样：用户输密码后，先请求后端拿一个一次性盐值，再拼上密码做md5。这样就算数据库泄露，攻击者拿到的也是加盐后的hash，想还原原始密码就得跑字典，成本高不少。

但说句实话，前端md5只是第一道门。真正安全的是HTTPS + 后端bcrypt或argon2。md5在前端的角色，更像是个“防君子不防小人”的锁——防止密码在日志里、在代理服务器上、在浏览器历史里留下明文痕迹。我见过有人把密码写进URL参数的，那才叫灾难。

还有个细节：别在前端做多次md5迭代。有人觉得md5一次不够，就循环个1000次。这纯属自我安慰，计算都在用户浏览器里跑，慢的是用户，不是攻击者。后端拿到结果后该怎么处理还是怎么处理。

最后说个真实案例。某电商平台，前端md5后提交，后端直接存这个hash。后来数据库被拖，攻击者用彩虹表一查，管理员密码是`admin888`——md5值在表里躺着呢。但另一个用户密码是`Kx9#mP2$vL`，彩虹表查不到，攻击者只能跑字典，跑了一天没出来。所以别怪md5，问题出在密码强度上。

前端md5不是银弹，但也不是废柴。它解决的是传输层的明文暴露问题，仅此而已。你要是拿它当万灵丹，那迟早出事。配合强密码策略、HTTPS、后端慢哈希，它才算真正发挥价值。取舍之间，全看你对威胁模型的理解有多深。