tl;dr 用 https 足矣，非要改进建议放弃密码直接 passless

密码明文入库、日志里明文暴露等在我看来都是借口，CSDN 密码泄露都过去 13 年了，如果还犯这种低级错误，你和你的领导至少有一个人不适合在这个行业干。

那仅仅考虑传输安全呢？
先说加密，对称加密不安全，毕竟不管是 js 里写死（那攻击者直接能看到）还是从服务器端获取/协商（那这个请求的传输安全如何保证）都不行。非对称加密理论上是可以的，但如果你完整地实现一遍，你可能会发现——你重新写了一遍 https 。那凭啥你自己写的 https 就比自带的安全了？

再说哈希。首先我必须打醒某些觉得哈希了再传更安全的人。对于后端来说，你传的是明文密码还是哈希后的密码，都只是一个字符串，对攻击者来说也是如此。抓到请求我拿抓到的值去用就行（重放攻击），密码明文还是哈希，有区别吗？至于那些我被黑了没事，用户密码坚决不能泄露的，你可听说过彩虹表？就算加盐了，弱密码字典+盐跑一遍现在也没啥成本。那就变成要用户变态密码或者一站一密了，不如直接 passless