说到在http协议下用户登录如何保证密码安全这个问题：
小白可能第一想法就是，用户在登录页面输入密码进行登录时，前台页面对用户输入的密码进行加密，然后把加密后的密码作为http请求参数通过网络发到服务器。
这样做是无法保证用户的账户安全的，因为稍微懂一点编程知识的人就可以通过你发送的http请求知道了你的密码，小白又说了，我密码加密了，它拿到的也是加密后的密码，它不知道我的原始密码它是无法从登录页面登录的。
原文和作者一起讨论：http://www.cnblogs.com/intsmaze/p/6009648.html
新浪微博：intsmaze刘洋洋哥
但是小白啊，你有没有想过，有时候我仅仅知道你加密后的明文就够了，我可以自己伪造http请求，把明文加在请求参数里面，一样可以登录系统的。
大白这时候有话说了，大白：我可以对密码进行加盐。好，我们先看加盐是什么，加盐简单说就是程序对用户设置的原始密码后面追加随机数来加强用户密码的复杂性，然后再对组合后的密码进行加密进行存储，用户每一次登录，前端先对用户输入密码进行加密传输到后端，然后后端获得用户账号到数据库找到该用户的盐，再和传来的明文组合一起进行一次加密后与数据库中的密码进行对比来判断是否是符合用户。但是啊，大白，你看，这样做，并无法控制其他人通过你http请求获得明文，获得后，人家照样大摇大摆使用你的身份登录系统进行操作。
好，大白让我跟你讲讲加盐的真正意义：加盐的意义不是为了保证密码在网络传输的安全性，而是防止数据库被人入侵后，由于原始密码太过简单，被人分析出来，进而知道了密码。直接对密码进行MD5处理后，反向解密确实难度很大，但还是可以找出破绽
