如何加密会话的用户名/密码

Question

我正在通过 https 调用第 3 方服务（使用 HttpWebRequest 并发送用户名、密码以返回 token，然后需要该令牌来进行未来的数据请求） .该服务只需要在公共 ASPNet 网站上列出项目。

将不涉及数据库，因此会话或 cookie 将存储令牌。

为了获取令牌，我发送了一个包含用户名/密码的 POST 请求，但我可以在 Fiddler 中看到这些详细信息（用户名/密码）（我认为是标题文本选项卡，但可以确认是否有人询问）——我个人认为我应该不是吗？当我发出 GET 请求以获取项目时，我发送令牌并且一切正常。

那么我应该在检索令牌之前以某种方式加密用户名/密码吗？如果是，我会怎么做？

我只是觉得任何人都可以检查 POST 请求，看看发生了什么。我可能是错的，但很乐意测试任何理论。

编辑 1

这是我发送 POST 请求的代码。请注意用户名和密码以及 https 的 URL

    private string UsernamePassword()
    {
        string un = new JavaScriptSerializer().Serialize(new
        {
            User = "abc",
            Password = "123"
        });

        return un;
    }

        HttpWebRequest wr = (HttpWebRequest)WebRequest.Create("https://site.data.com");

        wr.Headers.Add(HttpRequestHeader.AcceptEncoding, "gzip, deflate, br");
        wr.Headers.Add(HttpRequestHeader.AcceptLanguage, "en-GB,en-US;q=0.9,en;q=0.8");
        wr.Headers.Add("Sec-Fetch-Site", "same-origin");
        wr.Headers.Add("Sec-Fetch-Mode", "cors");

        wr.Accept = "application/json";
        wr.ContentType = "application/json";

        byte[] data = null;

        wr.Method = "POST";
        data = Encoding.UTF8.GetBytes(UsernamePassword());
        wr.ContentLength = data.Length;
        wr.KeepAlive = true;          
        wr.AutomaticDecompression = DecompressionMethods.GZip | DecompressionMethods.Deflate;

        try
        {
            using (Stream stream = wr.GetRequestStream())
            {
                stream.Write(data, 0, data.Length);
                stream.Flush();
                stream.Close();
            }

            using (HttpWebResponse httpResponse = (HttpWebResponse)wr.GetResponse())
            {
                var encoding = Encoding.GetEncoding(httpResponse.CharacterSet);

Answer 1

@germi 是对的。这正是 TLS/Https 的用途。 您可以看到您的https请求的内容这一事实并不意味着任何人都可以。

只要您的端点使用https（而不是http），交换将通过加密通道进行。如果您想验证，请安装Wireshark 并亲自查看。