按F12，看密点开Network标签，看密刷新页面，看密找到那个POST请求，看密看Payload——密码就在里面，看密明文。看密这事我干过不下五十次，看密帮朋友找回他们自己忘了的看密密码，或者证明某个网站确实在裸奔。看密

别急着兴奋。看密能这么干的看密前提是：网站用的是HTTP，不是看密HTTPS。或者更准确地说，看密是看密那个登录接口没有走TLS加密。2024年了，看密主流网站早就全站HTTPS了，你在Network面板里看到的Payload会是乱码或者加密后的二进制。但总有些漏网之鱼——小型论坛、企业内部系统、学校的老旧选课平台、某些物联网设备的后台。它们的登录请求就是赤裸裸的username=admin&password=123456，躺在请求体里等你来看。

我印象最深的一次是帮一个开咖啡馆的朋友看他店里的点单系统。那套系统跑在一个本地服务器上，界面丑得像是2008年的产物。他忘了管理员密码，急得团团转。我打开Chrome，F12，Network，让他随便输个密码点登录。请求发出去，Payload里明明白白写着pwd=admin888。他愣了三秒，然后骂了一句脏话——他之前试了二十多个密码，就是没试过这个。

但这里有个关键区分：F12能看到密码，和F12能拿到密码，是两码事。前者是网站自己把密码塞进了请求里，你只是截了个包。后者是你通过某种手段解密了HTTPS流量——那需要安装中间人证书，或者拿到服务器的私钥。浏览器自带的开发者工具做不到后者。所以网上那些“按F12就能盗密码”的教程，要么是标题党，要么是在教你在自己电脑上抓自己的包。

真正值得说的是另一件事：很多前端代码里藏着比密码更危险的东西。API密钥、数据库连接字符串、内部接口地址。我见过一个电商网站，F12打开Sources面板，在config.js里直接写着阿里云OSS的AccessKey。那玩意儿能干嘛？能上传、下载、删除他们整个存储桶里的文件。还有一次，某个金融类App的H5页面里，JWT令牌的签名密钥硬编码在前端。这意味着我可以自己签发任意用户的令牌。

说回密码。如果你在自己的网站上做登录功能，记住一条：前端永远不要相信用户输入，后端永远不要明文存储密码。请求体里传明文密码本身不是致命问题——只要走HTTPS，传输层就加密了。真正致命的是把密码写进日志、写进URL参数、或者用GET请求发送。URL会被浏览器历史记录、代理服务器、CDN日志完整保留。我见过一个政府网站用GET请求登录，密码直接出现在URL里，浏览器地址栏明晃晃地挂着，截图发出去就是事故。

还有个小细节：Chrome的开发者工具里，如果你在Network面板右键某个请求，选择“Copy as cURL”，能把整个请求复制成命令行格式。这里面包含所有请求头、Cookie、POST数据。很多人调试API的时候这么干，然后不小心把命令粘贴到了公开的issue里。GitHub上搜curl -X POST password=，能找到不少这样的“事故现场”。

所以F12查看密码这件事，本质上不是技术漏洞，是开发习惯的照妖镜。它照出的是：谁在用HTTP、谁在把敏感数据往前端塞、谁在日志里打印用户凭证。作为普通用户，你管不了别人的代码，但可以养成习惯——登录任何网站之前，看一眼地址栏有没有小锁图标。没有的话，那个密码就当是一次性的，别到处复用。

作为开发者，下次写完登录接口，自己按个F12看一眼。如果Payload里躺着明文密码，而请求又是HTTP，那就别怪别人也能看见。