1、密码是否加密
抓包时有警告信息：密码信息不能够出现在非https的链接页面
登录功能应该使用https页面
2、登录时“记住我”的功能，如果将用户名和密码写在了cookie里面，就是安全性的bug
3、接口之sql注入
sql注入漏洞存在的前提条件：
1、某个接口中，代码中方法函数查询的sql条件字段的值是通过拼接的方式拼上去的
2、通过拼接得到的查询sql会出现恒等表达式，永远可以查到数据
【例】登录sql：
select count(*) from nm_user where password=‘123456‘ and username=‘[email protected]‘;
select count(*) from nm_user where password=‘123456‘ and username=‘‘ or ‘abc‘=‘abc‘;
‘ or ‘abc‘=‘abc （取两个单引号之间的）
【例】通过接口参数获取用户信息
xxx/getUsernameById?id=‘or ‘abc‘=‘abc
1）代码中查询的sql的字段是通过拼接查询的：
2）查询sql存在恒等式：
3）如果取量引号中的xxx/getUsernameById?id=‘or ‘abc‘=‘abc 复制到浏览器查询，就会查询出全部的用户信息