.net - 黑客能否查看隐藏字段的值

Question

我想使用 javaScrip 调用 Web 服务，但 Web 服务调用包含用户名和密码，因此我正在考虑将用户名和密码的值存储在隐藏字段中，然后使用构建 Web 服务 URL javaScript 通过附加用户名和密码的值。如果我要为这些 Web 服务调用实现 https，那么将用户名和密码的值作为隐藏字段存储在 html 页面中是否安全？

Answer 1

绝对可以，黑客将能够看到隐藏字段的值(value)。 HTML 中的隐藏字段很容易被查看页面源代码的任何人看到。

为了展示这一点，这里有一些来自 google 登录页面的代码。

<form id="gaia_loginform"
      action="https://www.google.com/LoginAction2?service=mail" method="post"
      onsubmit="return(gaia_onLoginSubmit());">
<div id="gaia_loginbox">
<table class="form-noindent" cellspacing="3" cellpadding="5" width="100%" border="0">
  <tr>
  <td valign="top" style="text-align:center" nowrap="nowrap"
        bgcolor="ddf8cc">
  <input type="hidden" name="ltmpl"
             value="default">
  <input type="hidden" name="ltmplcache"
             value="2">

特别注意这一点:

隐藏意味着它不会出现在网页上，但仍包含在源代码中。所有人所要做的就是导航到该页面，查看源代码，然后他们就可以找到任何隐藏的条目。