浏览器里那个小圆点，网页按一下 F12 就能让它现原形。隐藏

我头一回知道这事，密码是网页帮同事老周找路由器后台密码。他蹲在工位上念叨了半小时“明明设过”，隐藏我过去一看，密码登录框里六个黑点排得整整齐齐。网页右键，隐藏检查，密码找到那个 type="password"，网页双击改成 type="text"，隐藏密码就明晃晃躺在那里——是密码他家猫的名字加生日。老周愣了两秒，网页说这跟脱裤子有什么区别。隐藏

区别在于，密码浏览器本来就没打算真藏住什么。密码框的星号或圆点只是视觉遮挡，字符本身始终以明文形式存在于 DOM 里。你输入的每一个字母，在按下回车之前就已经躺在 HTML 结构中，等着被读取。所谓“隐藏”，不过是给 input 标签换了个类型属性。

改属性是最笨也最直接的办法

Chrome、Edge、Firefox 都通用。对着密码框右键选“检查”，开发者工具面板会定位到对应的 <input> 元素。找到 type="password"，双击 password 这个词，删掉，输入 text，回车。圆点瞬间变明文。

有个细节：有些网站会监听输入框的 type 变化，一旦检测到被改成 text 就立刻改回去。遇到这种，可以在开发者工具里直接删掉整个 type 属性，效果一样，而且不容易被脚本捕捉到。

我试过在某个银行登录页操作，改完不到半秒就被还原了。页面甚至弹了个提示说“检测到异常操作”。这说明前端确实在做防护，但防护的是“改属性”这个动作，而不是密码本身。密码该在还在。

控制台里一行代码的事

懒得翻 DOM 的话，直接按 F12 切到 Console 标签，输入：

document.querySelectorAll('input[type="password"]').forEach(el => el.type = 'text')

回车。页面上所有密码框同时变明文。这行代码的意思是：找到所有类型为 password 的输入框，把它们的类型统统改成 text。比手动一个个改快得多，尤其适合那种登录、注册、确认密码三个框并排的页面。

有次我在一个后台管理系统里用这招，六个密码框齐刷刷亮出来，旁边实习生看呆了，问我是不是黑客。我说这连脚本小子都算不上，就是改了个 HTML 属性，跟黑客没半毛钱关系。

手机浏览器稍微麻烦点

移动端没有 F12。Android 上的 Kiwi Browser 可以装 Chrome 扩展，用法和桌面一样。iOS 的 Safari 需要先在设置里打开“Web 检查器”，然后用数据线连电脑，在桌面 Safari 的“开发”菜单里选对应设备页面，才能调出开发者工具。步骤多，但原理没变。

更省事的办法是装个书签脚本。把一段 JavaScript 存成书签，在需要的时候点一下，效果等同于在控制台执行代码。网上搜“显示密码书签”能找到现成的，自己写也就三行。

这事能干什么，不能干什么

能干的：找回自己忘了的密码、确认自动填充有没有填错、检查网站有没有把密码明文存在某个隐藏字段里。不能干的：看别人的密码。你只能看到当前浏览器里已经输入或自动填充的字符，看不到服务器那端存的任何东西。

有个误区得说清楚：这招对“记住密码”功能没影响。浏览器保存的密码在设置里能直接看，不需要改 HTML。改属性只对当前页面上已经存在的输入框有效，刷新就没了。

另外，公共电脑上用完记得刷新页面。不然下一个人打开开发者工具，能看到你刚才输的所有东西。老周那次之后，我养成了个习惯：在别人电脑上登录任何账号，走之前一定按 F5。

说到底，前端没有真正的秘密。密码框的圆点是一种礼貌，不是一道锁。真正该锁住的东西，从来就不该只靠一个 type 属性来保护。