> 再用脚想一想，如果 https+明文就安全了，为啥还要有二次验证之类的额外的安全策略？

二次验证防止的是未经授权的用户登陆操作，防止的不是密码泄露。

> 为什么 Amazon Web 不用明文? 为什么淘宝 Web 不用明文? 为什么 telegram whatsapp 网页版不用明文而是其他设备扫码登陆?

我猜测可能是因为亚马逊淘宝这类网站是逐步从 http 过渡到 https 的，他经历了没有 TLS 的时代，所以需要手动在 payload 里去加密 sensitive 。

telegram 和 whatsapp 这类东西，包括微信，做扫码登陆，因为他们本来主打平台就是移动端，只是顺便做的其他平台而已，所以才敢这么做，至于安全与否完全只是顺便而已。

我的一些观点：

像 CDN 、WAF 这些做 tls offloading 的东西，还有一些其他公有云设施，这种东西你只能默认信任。

为什么这么说？

给密码再加密一层，密码是安全了，返回给用户的 session 你也要加密返回给用户吗？

你收到一个加密的 session ，你怎么判断这个 session 是用户发的还是恶意构建的请求？

假设你以上所有东西都 ok ，你怎么确保你公有云 instance 的云盘或者云数据库不会被未经授权的读取？

我并不是说以上问题没法解决，我想说的是，如果你要确保你想的那种 level ，绝对不是给密码再加密一层密码加密就能解决的问题。

架构设计本身就是一个不断做取舍的过程，这个问题上的取舍绝对不是这么简单就能解决的。

所以就不要自己骗自己了。