2022/09/29
2,959
没错， 这里说的那个浏览器， 它就是 Chrome 。 以及包括 Edge 在内的绝大多数基于 Chromium 开发的 web浏览器，
我们在登录网站后， 浏览器会提示我们是否保存密钥，我们点下 “是”， 密钥就被浏览器记录。下次打开网站时它甚至会贴心地帮我们自动填充好用户名和密码。我们可以在 chrome://settings/passwords 里查看已保存的密码， 它们会随浏览器账户同步到任何使该浏览器的设备上。当我们要查看某个密码时， 浏览器会要求我们先输入设备密钥。
我一直认为它足够安全。直到有一天我研究了 Chromium 的源码。
密码保存的核心代码位于 components\password_manager\core\browser\login_database.cc 。这个文件会对用户输入的密码信息进行保存， 包括网站 URL, 用户名在表单中的元素， 用户名， 密码元素， 密码值等。Chromium 在将密码信息保存在本地时， 对密码值做了加密。但对于其它信息，则完全没有提供任何保密措施。