1. 项目背景网页密码框的星号保护机制网页登录表单中的密码输入框默认会显示星号(*)或圆点(•)这是浏览器的标准安全特性。其底层实现是通过HTML的input typepassword元素实现的这种设计可以有效防止旁观者直接看到密码明文。但实际开发调试或日常使用中我们有时确实需要查看这些被隐藏的密码内容。2. 技术原理DOM操作破解星号显示2.1 密码字段的DOM属性在浏览器开发者工具中查看密码输入框元素会发现它本质上仍是普通的input元素只是type属性被设为password。通过JavaScript可以动态修改这个属性document.querySelector(input[typepassword]).type text2.2 书签脚本的实现机制浏览器书签脚本(Bookmarklet)是一种特殊的JavaScript代码以javascript:协议开头存储在书签中。点击时会在当前页面上下文执行具有与页面脚本相同的DOM访问权限。3. 完整实现方案3.1 基础版书签脚本将以下代码保存为书签javascript:(function(){ var pwds document.querySelectorAll(input[typepassword]); pwds.forEach(function(pwd){ pwd.type text; }); })()3.2 增强版实现增加切换显示/隐藏功能javascript:(function(){ var pwds document.querySelectorAll(input[typepassword]); pwds.forEach(function(pwd){ pwd.type pwd.type password ? text : password; }); })()3.3 带样式提示的版本添加可视化反馈javascript:(function(){ var pwds document.querySelectorAll(input[typepassword]); pwds.forEach(function(pwd){ var isHidden pwd.type password; pwd.type isHidden ? text : password; if(isHidden){ pwd.style.backgroundColor #ffeb3b; setTimeout(() pwd.style.backgroundColor , 2000); } }); })()4. 实际应用场景4.1 开发调试场景验证自动填充的密码是否正确调试密码验证逻辑时查看实际输入值测试密码强度校验规则4.2 日常使用场景找回自己忘记的已保存密码确认密码输入是否正确特别是复杂密码检查浏览器自动填充的密码是否准确5. 安全注意事项重要提示此技术仅限合法用途切勿用于窥探他人密码仅在可信设备上使用使用后及时切换回密码模式注意周围环境避免密码泄露公共电脑上不建议使用此方法6. 浏览器兼容性处理6.1 多浏览器适配不同浏览器对书签脚本的支持略有差异以下是兼容写法javascript:(function(){ var sdocument.createElement(script); s.srcdata:text/javascript, encodeURIComponent(document.querySelectorAll(input[type\\password\\]).forEach( function(e){e.typee.typepassword?text:password});); document.body.appendChild(s); })()6.2 移动端适配方案针对移动浏览器可添加触摸反馈javascript:(function(){ var pwds document.querySelectorAll(input[typepassword]); if(pwds.length 0) return alert(未找到密码输入框); pwds.forEach(function(pwd){ pwd.type pwd.type password ? text : password; pwd.style.boxShadow 0 0 10px rgba(255,235,59,0.8); setTimeout(() pwd.style.boxShadow , 1000); }); })()7. 高级技巧与变体7.1 密码批量导出开发专用调试版本慎用javascript:(function(){ var pwds document.querySelectorAll(input[typepassword]); var results []; pwds.forEach(function(pwd, i){ var id pwd.id || pwd.name || password-i; results.push(id : pwd.value); pwd.type text; }); console.table(results); })()7.2 表单密码字段检测检测页面中所有可能的密码字段javascript:(function(){ var suspects [ input[typepassword], input[name*pass], input[id*pass], input[class*pass] ]; var pwds document.querySelectorAll(suspects.join(,)); console.log(发现pwds.length个密码字段); pwds.forEach(pwd pwd.type text); })()8. 防御对策作为网站开发者可以采取以下措施防止此类操作使用只读属性保护密码字段document.querySelector(input[typepassword]).readOnly true;监听type属性变化const pwd document.querySelector(input[typepassword]); const observer new MutationObserver(function(mutations) { mutations.forEach(function(mutation) { if(mutation.attributeName type) { pwd.type password; } }); }); observer.observe(pwd, { attributes: true });使用自定义密码输入组件替代原生input9. 常见问题解答9.1 为什么脚本在某些网站无效可能原因网站使用自定义密码输入控件内容安全策略(CSP)阻止了脚本执行密码字段是动态加载的解决方案等待页面完全加载后执行尝试在控制台直接运行代码检查浏览器控制台是否有错误提示9.2 如何恢复密码隐藏状态重新点击书签脚本即可切换刷新页面会自动恢复手动在控制台运行document.querySelectorAll(input[typetext][data-was-password]).forEach( el el.type password );9.3 书签脚本在移动设备上如何使用在PC浏览器创建书签同步书签到移动设备在移动浏览器书签栏点击执行 或长按地址栏粘贴javascript代码前往执行10. 扩展应用思路密码强度实时检测工具表单自动填充调试工具网页安全检测套件浏览器扩展开发基础这个技术演示了前端安全的有趣两面性 - 既可以被用来提升开发效率也可能被滥用。作为开发者我们应当合理使用这些技术同时也要在自己的项目中做好相应的防护措施。
1. 项目背景网页密码框的星号保护机制网页登录表单中的密码输入框默认会显示星号(*)或圆点(•)这是浏览器的标准安全特性。其底层实现是通过HTML的input typepassword元素实现的这种设计可以有效防止旁观者直接看到密码明文。但实际开发调试或日常使用中我们有时确实需要查看这些被隐藏的密码内容。2. 技术原理DOM操作破解星号显示2.1 密码字段的DOM属性在浏览器开发者工具中查看密码输入框元素会发现它本质上仍是普通的input元素只是type属性被设为password。通过JavaScript可以动态修改这个属性document.querySelector(input[typepassword]).type text2.2 书签脚本的实现机制浏览器书签脚本(Bookmarklet)是一种特殊的JavaScript代码以javascript:协议开头存储在书签中。点击时会在当前页面上下文执行具有与页面脚本相同的DOM访问权限。3. 完整实现方案3.1 基础版书签脚本将以下代码保存为书签javascript:(function(){ var pwds document.querySelectorAll(input[typepassword]); pwds.forEach(function(pwd){ pwd.type text; }); })()3.2 增强版实现增加切换显示/隐藏功能javascript:(function(){ var pwds document.querySelectorAll(input[typepassword]); pwds.forEach(function(pwd){ pwd.type pwd.type password ? text : password; }); })()3.3 带样式提示的版本添加可视化反馈javascript:(function(){ var pwds document.querySelectorAll(input[typepassword]); pwds.forEach(function(pwd){ var isHidden pwd.type password; pwd.type isHidden ? text : password; if(isHidden){ pwd.style.backgroundColor #ffeb3b; setTimeout(() pwd.style.backgroundColor , 2000); } }); })()4. 实际应用场景4.1 开发调试场景验证自动填充的密码是否正确调试密码验证逻辑时查看实际输入值测试密码强度校验规则4.2 日常使用场景找回自己忘记的已保存密码确认密码输入是否正确特别是复杂密码检查浏览器自动填充的密码是否准确5. 安全注意事项重要提示此技术仅限合法用途切勿用于窥探他人密码仅在可信设备上使用使用后及时切换回密码模式注意周围环境避免密码泄露公共电脑上不建议使用此方法6. 浏览器兼容性处理6.1 多浏览器适配不同浏览器对书签脚本的支持略有差异以下是兼容写法javascript:(function(){ var sdocument.createElement(script); s.srcdata:text/javascript, encodeURIComponent(document.querySelectorAll(input[type\\password\\]).forEach( function(e){e.typee.typepassword?text:password});); document.body.appendChild(s); })()6.2 移动端适配方案针对移动浏览器可添加触摸反馈javascript:(function(){ var pwds document.querySelectorAll(input[typepassword]); if(pwds.length 0) return alert(未找到密码输入框); pwds.forEach(function(pwd){ pwd.type pwd.type password ? text : password; pwd.style.boxShadow 0 0 10px rgba(255,235,59,0.8); setTimeout(() pwd.style.boxShadow , 1000); }); })()7. 高级技巧与变体7.1 密码批量导出开发专用调试版本慎用javascript:(function(){ var pwds document.querySelectorAll(input[typepassword]); var results []; pwds.forEach(function(pwd, i){ var id pwd.id || pwd.name || password-i; results.push(id : pwd.value); pwd.type text; }); console.table(results); })()7.2 表单密码字段检测检测页面中所有可能的密码字段javascript:(function(){ var suspects [ input[typepassword], input[name*pass], input[id*pass], input[class*pass] ]; var pwds document.querySelectorAll(suspects.join(,)); console.log(发现pwds.length个密码字段); pwds.forEach(pwd pwd.type text); })()8. 防御对策作为网站开发者可以采取以下措施防止此类操作使用只读属性保护密码字段document.querySelector(input[typepassword]).readOnly true;监听type属性变化const pwd document.querySelector(input[typepassword]); const observer new MutationObserver(function(mutations) { mutations.forEach(function(mutation) { if(mutation.attributeName type) { pwd.type password; } }); }); observer.observe(pwd, { attributes: true });使用自定义密码输入组件替代原生input9. 常见问题解答9.1 为什么脚本在某些网站无效可能原因网站使用自定义密码输入控件内容安全策略(CSP)阻止了脚本执行密码字段是动态加载的解决方案等待页面完全加载后执行尝试在控制台直接运行代码检查浏览器控制台是否有错误提示9.2 如何恢复密码隐藏状态重新点击书签脚本即可切换刷新页面会自动恢复手动在控制台运行document.querySelectorAll(input[typetext][data-was-password]).forEach( el el.type password );9.3 书签脚本在移动设备上如何使用在PC浏览器创建书签同步书签到移动设备在移动浏览器书签栏点击执行 或长按地址栏粘贴javascript代码前往执行10. 扩展应用思路密码强度实时检测工具表单自动填充调试工具网页安全检测套件浏览器扩展开发基础这个技术演示了前端安全的有趣两面性 - 既可以被用来提升开发效率也可能被滥用。作为开发者我们应当合理使用这些技术同时也要在自己的项目中做好相应的防护措施。
