AJAX登录的安全漏洞

Question

现在很多网站都使用AJAX来让用户登录.

然而,这种设计存在(我认为)巨大的安全漏洞.

如果登录失败,则在向服务器发出的请求中使用了用户名/密码.

如果由于某种原因用户在此时走AFK,恶意用户可以查看用户已做出的请求(firebug/devtools).

它是否正确？

我们可以做些什么(不这么认为)？

Answer 1

Firebug仅在请求期间处于活动状态时记录请求.除此之外,它还记录常规POST和AJAX POST(对于GET来说都是一样的,但是对于登录使用它会被延迟,因为它会导致密码以纯文本形式写入日志文件).

所以没有区别.此外,如果真实用户愚蠢到不能锁定他的PC,恶意用户可以简单地安装一个键盘记录器......

哦,如果证书完全无效(不仅仅是错字),那根本不重要......