b 站账号申诉要给客服发留言，里面还要写用过的密码， b 站的密码是明文存储的吗？

[bestkayle]

客服能直接看密码是不是太夸张了点，一楼截图

哔哩哔哩已经修改了申诉的环节，v 站的力量还是很强大的哈。

[bestkayle]

[1iuh]

不是明文也可以验证你提交的历史密码是否一直呀。

[MinQ]

对比 hash 过的值也行啊

[bestkayle]

@1iuh #2
@MinQ #3
这个是直接给客服留言的，自己编辑排版，难道还能智能给密码 hash ？

[CEBBCAT]

提示一下，QQ 申诉也是如此

[jason19659]

大网站，肯定是要你提交的信息全一点

[mokeyjay]

你为啥觉得“历史密码”必须是明文呢？存你历史密码的 hash 值不行吗？腾讯也有类似的机制

[bestkayle]

@CEBBCAT #5 QQ 是提交表单还是留言里面给客服的？

[bestkayle]

@mokeyjay #7 大哥，是留言，看清楚，4 楼说了

[LeeSeoung]

留言也可以按模板匹配出信息啊。。

[mokeyjay]

@bestkayle #8
@bestkayle #9 没差，你去申诉一次 QQ 就知道了，一样是客服人工审核

[bestkayle]

@mokeyjay #11 卧槽，不是吧，QQ 还没申诉过，难道能直接在对话中匹配出密码然后 hash 掉？

[icris]

人家拿了你的明文密码还不能手动 hash 一下了？

[zhouxuchen]

@bestkayle #12 11 楼说了是人工审核了，咋这么轴呢，客服可以复制粘贴啊

[cout2013mr]

@bestkayle 管理界面有个账号和历史密码匹配的功能不就行了，不可能让客服人肉去做比对的

[bestkayle]

@icris #13 密码被第二个人拿到就已经很严重了，不是相关行业吧？

[w88975]

做法没问题
1.密码不会自动 hash
2.客服能看到你的历史密码，也仅仅客服能看到
3.要你明文密码的意义在于对比 hash，如果你不提供明文密码怎么比对 hash
4.你是在申诉，如果觉得索要历史密码侵犯你的隐私，你可以选择放弃
5.站在一个客服的角度，你的历史密码并不会有什么价值

[xomix]

@bestkayle 别人就不能有个内部网页接口，客服按照你回复的输入后验证一下是否相等之类的嘛………………
另外说一下 qq 的是页面提交的，应该是自动做好 hash 了。

[bestkayle]

@w88975 #17 历史密码可以取碰撞其他网站的账号，刚才要不是有人说 QQ 申诉我还不知道还有其他公司会这样，起码大公司没有。之前在 v 站看到过一个不记得哪个公司客服直接登录客户的账号威胁的。

[icris]

@bestkayle #16
第一方客服拿到你要申诉的账号的曾用密码都很严重，所有注册时用 https 传（你将要使用的）明文密码的你是不是也不能信任了？简单分析一下，所有要求密码符合某种格式的大致都属于这个范围，你大概算算，考虑考虑要不要注销一批账号吧。

[summerwar]

不同的网站请使用不同的密码，为了防止记不住密码，请使用密码管理工具，例如 lastpass 等

[bestkayle]

@icris #20 注册的时候传给的是服务器，https 这个一般人抓包都抓不了的。

[opengps]

提供历史明文密码不能说明他明文存储，他们完全可以存储你历史密码的加密结果，用你提供的历史密码重新加密后比对密文是否一致

[icris]

@bestkayle #22
不是说别人，说的是公司第一方拿着服务器私钥的那群，小点的公司要拦截一下几个日志也不是不可能，这么想是不是挺危险了？

[bestkayle]

@icris #24 小网站我不去注册也是乱写密码而且那是未知的，这个是已知的。

[wplct]

反正不能给任何人明文密码就对了
b 站没做好申诉模块，也不能给他明文密码

[flyqie]

谁告诉你要你历史密码就是明文储存？人家说不定加密了呢....毕竟客服去用你给的密码加密下找数据库也不是啥难事..

[shintendo]

楼主说的不无道理，前面扯 hash 的也真是够了
从隐私和信任的角度，各人敏感度不同，不好评论，也许手机号、实名认证、密保问题答案也是值得商榷的信息
但是这个问题的关键在于，显然用一个表单就可以解决的事情，不知道为什么要用人工留言的形式……

[icp]

楼上很多人真是会扯, 直接把密码给客服? 搞笑的吧.

[logOo]

使用过的，又不是现在的，当然像我这种基本 3 个密码通杀所有网站的会有些尴尬。

[Hassan]

直接给原密码，不管怎样都严重了。

[bestkayle]

@logOo #30 b 站我就用过一个密码，我一般也就记三个密码。。或者改后几位。密码管理软件对于大部分的手机软件用起来很烦。

[shintendo]

@bestkayle 我都是用一个统一的密码，然后根据网站的名字，以某种规律转换成两个字符，替换掉其中 2 位

[bestkayle]

@shintendo #33 哈哈，一样

[Felldeadbird]

楼主，你在谷歌修改过密码，用了一次旧密码，谷歌都知道呢。是不是很可怕

[qf19910623]

@bestkayle 里面说的很清楚啊，由工作人员来核实，人工去验证不行吗，人家后台提供一个 hash 比对的入口还不是分分钟

[Alias4ck]

我觉得写用过的密码 和 密码是否 明文存储 有啥关系啊 人家内部系统也许有一个专门用来比对的表单 ，因为我看了它要求的信息是比较多的。估计做起表单起来麻烦 而且可扩展的信息比较多，所以用这种留言的方式把 而且他这个不是智能姬嘛 我猜可能会有分词 系统吧。可能会对你输入的密码进行识别 分词并 加密

[cairnechen]

@shintendo 我觉得前面的的人说得没问题，因为楼主的标题是“ 站的密码是明文存储的吗？”而不是“ b 站为什么要把密码经人工客服转手”

[abccba]

楼主你不要跟几个智障争了，他们愿意给明文就给明文吧，哈哈。
（当然，给明文密码 !-> 明文存储）

[SourceMan]

只能怪楼主正文没有表述清楚，大家不会一个个看回复的，而且不能单看楼主的回复，更加蒙圈
楼主认为把自己有规律的明文密码给第三方真人看不妥，比如：ctmdzg1949 之类的

不过，楼主怎么知道申诉系统没有对密码进行处理呀，就像处理 log 的 password 字段一样，可能在客服那边的验证系统是这样的：
历史密码 1：********* 点击验证
历史密码 2：********* 点击验证

[ob]

就算后台存的是密文，直接提供给明文，也完全不合理吧，我不可能每个网站的密码都不一样，而且很多网站密码是设置成一样的，先不说客服拿到密码会不会去做坏事，这样直接泄漏你的密码，也让人很没安全感，其他相同密码的网站已经不能保证安全了。。

[OneNian]

不单单对比 hash，现在应该还会检查相似度，检查你所提供的秘密和历史密码的相似程度。现在有些网站密码很可能不是不可逆加密。

[sobigfish]

b 站以前的找回密码，只要知道邮箱，然后验证连接直接出现在发送成功的页面上（令人窒息的操作！）

[p1gd0g]

网易申诉也要历史密码，明文。

[OscarUsingChen]

一个可破的办法是用密码管理器自动生成密码，这样给别人的时候也能请安心一点。但是好像密码管理器是不会记录历史密码的。

[bestkayle]

@abccba 嗯，b 站之前用过明文存储的。最后我还是没申诉

[msg7086]

楼主标题问的是 b 站密码是否明文存储。
到了 4 楼开始怼，说是留言里给明文密码。

你到底想问什么？

至于客服有权拿到你密码的事。
这个你自己决定要不要给，不给也可以给其他材料来证明你的身份。
至于撞库，怕撞就别用一样的，你把密码藏得再好也不能保证网站不把你的明文密码存在某个地方（比如查询日志里）。真怕撞就每个网站用不同的密码。

[Kagari]

保不准你的密码早就在某个明文存密码的地方泄漏了，何必在意这一次究竟是怎么样的呢

[millionart]

当年在一家公司，全公司只有我的 QQ 无法登陆，我也不是电脑小白，各种排查换机都没用，跟 IT 也确认过没有做手脚，最后联系腾讯技术部门还跟我电话并要了密码，也没解决
8 年过去了，密码没改，QQ 也没被盗过
如果你的密码不怕被社工，其实危险性也没有那么大

[Perry]

谷歌申诉以前（现在不知道）也需要以往使用过的密码，谷歌不算大公司吗？

[ctsed]

twitter 密码记日志里都自曝一波，安全意识没法比

[lukefan]

gmail 申诉也是这样的， 填历史密码和使用时间， 隔几个钟头发邮件告知通没通过

[imn1]

保不准你的裸照已经在某个云盘泄漏了，何必在意今天穿不穿衣服呢

QQ 客服又不是云上 X 州的内部人员，就算是，比中奖概率还低
别担心客服会私自代你「申诉」，张艺兴都说：人与人之间要多一点信任嘛

你想想，虽然让你去窗口交钱比较正规，但交警直接收罚款不是更方便吗，何必多跑一趟，难道你对交警的信任度还不如企业客服？
客服帮你填密码多好啊，如果下次你不记得，可以让他帮你「猜」，多个人多份力量嘛，这叫多介质备份
以后是 AI 时代，AI 客服可以预知你下次申诉，在你打开申诉页面就智能预填帮你搞定了

[imn1]

@imn1 #53
呃，是 b 站，被前面一个回帖带跑偏了
向 QQ 客服致歉

[0xcb]

客服权限这么大！？

[wobushizhangsan]

我也一直想不通，难道他们都没加盐吗，还是说同一用户都相同。

[ColinZeb]

@imn1 逻辑感人，一个人拥有你裸照，你就可以把裸照随便给人了？

[imn1]

@ColinZeb
嗯，这逻辑刚学的，#48，新知识确实感动了我，就用上了

[Tuuure]

那我觉得，客服也不应该直接能看常用登录地和绑定手机邮箱，更不能直接看实名认证了。

[wb14123]

1. 要求提供明文密码用程序验证没问题，但是明文密码不能让任何人接触到（包括打印到日志中），这是底线。B 站要求提供明文密码给人工客服显然是不合理的。
2. 为什么不能让任何人接触到？即使是用过的密码，也会包含很多个人信息，包括可能和别的网站共用一个密码。
3. 自己平常注意安全防范是正确的事，但是并不能抹消公司做好安全措施的责任。楼上某些观点就是不批评强奸犯反而批评女生穿的太风骚。
4. 说密码也许已经泄漏的再泄漏一次无所谓的人，希望你们把历史密码发到这个帖子下面以证明你们的观点，因为你们肯定也不在乎再多几十个人知道。而且即使你们不在乎，还有更多在乎的人。

[lzvezr]

@wb14123
qq 2530070540
pw QyYGsdNGW7zvcEAl
我是觉得无所谓，同时也安利一下 keepass

[bestkayle]

看了好多洗地回贴才发现原来天朝用户大部分已经习惯被强奸了

[dyxLike]

建议楼主下次把发帖的中心思想写到标题里去

[bestkayle]

@dyxLike #63 好的，这次我没说清楚

[zhouxuchen]

LZ 本来想带个节奏让大家一起喷 B 站，结果因为自己主贴没写清楚被喷，马上枪口一转大喊嘤嘤嘤你们这群洗地怪。还别说，这种类型的帖还不少。

[bestkayle]

@zhouxuchen #65 上面那么多说被泄露无所谓的你没看到？

[zhouxuchen]

@bestkayle #66 自己帖子歪成什么样你没看到？

[Admstor]

啧啧,还洗地...
麻烦自己去腾讯看看找回账号时候填写曾用密码是直接留言,还是有专门的输入框输入的
https://s1.ax1x.com/2018/05/23/CRBBvj.jpg

还扯什么自动分词,是你们太天真还是太蠢
B 站那破技术含量,一个客服系统还给你上自动分词判断密码???脑子是个好东西大部分人没有
更何况哪家的分词系统能做到 100%准确?拿出来瞧瞧

[bestkayle]

@Perry #50
@lukefan #52
Google 是直接留言还是填写表单啊？

[icp]

楼上很多人没去试过 QQ 申诉就开始敲键盘了吧.哈哈哈.

[wohenyingyu03]

@bestkayle 给客服密码是不对，但是完全不能推出密码是明文储存的这个结论，人家不是明文就不能对比密码么？

[fuxiaohei]

楼主这种就是揣着明白装糊涂。。
不管是表单提交还是留言提交，都不可能做到智能解析和密码对比，肯定是人工处理。
区别只是表单提交不知道人工是谁，客服留言处理就可能是客服。
和标题明文存储屁关系没有。

[bestkayle]

@wohenyingyu03 #71
@fuxiaohei #72
描述有问题，但是表单提交可以自动处理然后生成比对结果。留言的话需要经过人工处理吧？

[fuxiaohei]

@bestkayle 表单提交不可能机器绝对处理的，需要人工审核的，否则申诉系统早就被玩死了。QQ 的申诉也是返回一个申诉单号，具体的操作谁知道。
问题只是 B 站的还是全人工，或者内部平台不对外；需要改进，尽量避免人工操作。
和明文存储还是没关系。

[tan90]

申诉本身就是一个 BUG，长时间不登陆就直接 ban 掉，申诉个什么鬼呀！浪费时间浪费人力！我还要免费帮你保存承载了你美好回忆的个人信息吗？

[shintendo]

@fuxiaohei 噗，表单提交到后台，后台人工拿过去跟数据库比对？

[fuxiaohei]

@shintendo 平台不需要人工，但是平台结果是需要人工再审的，不是完全机器的。

https://aq.qq.com/htdocs/agreement.html
3.6 腾讯可根据帐号争议的情况自行决定是否启用人工审核....

很多机器能做的事情做了，但是不能确认是否还是可以被人操作，然后信息被人知道

[Kabie]

。。。如果他存的是明文。。。那你给不给他可能都没啥关系了。。。

。。。不过我记得之前 B 站提交密码的时候会变成一个很长的字符串。。。估计是 hash 过的……

[overflowHidden]

客服可以拿到用户的明文密码。。。这个业务逻辑真的是正常的？？

[bestkayle]

@overflowHidden #79 上面某些人觉得很正常。。

[shintendo]

@fuxiaohei 就说历史密码这一块，机器直接告诉人工审核者，申诉人填了多少个历史密码，其中多少个是符合的，不就行了吗。人工再看看明文的意义是什么？

[lukefan]

@bestkayle 表单， 填写完后有可能直接给出确认结果， 也有可能转人工, 隔几个小时发邮件通知

[fuxiaohei]

@shintendo 我觉得是我说的不严谨你有误会吧。不是人工看明文，是必然有人工审核结果的过程。所以即使是密码比对也不是全机器业务，还是需要人为介入的。
平台化后密码等资料比对是一口气的，人为审核结果就行。

[linkermlin]

密码肯定不是明文存的，我保证。

[fuchaofather]

人工介入了吧, 拿到明文和时间依据加密规则很容易跟库里比对的. 密码基本是没有明文储存的

[vindurriel]

数据库里的密码不是明文 至于为什么要给明文 楼主比较能接受的说法是 99%的用户不知道 hash md5 是啥 所以只能给明文 楼主您想多了

[oliverhuang]

y 一点都不智能（雾

[icris]

@wb14123 #60 hunter2

[Microi]

不管说得多么天花乱坠，以任何理由要明文密码都是智障行为。

[PERFECTCN]

真是无语，要不客服把源码给你，自己 hash 之后把 hash 码回给客服？

[kn007]

楼主 xx，鉴定完毕，已经 block

[bestkayle]

@Livid 91 楼这个人 kn007 素质很差

[dong3580]

@bestkayle
他们怎么说，你又能改变什么呢？所以还是停止继续下去的争论为上策吧。

[bestkayle]

@dong3580 #93 没想炒，有些人素质太差。各种辩护我也没办法。

[kaedea]

不要说和工作人员透露明文密码，就算生产代码日志里显示明文密码也是很 Low 的操作，只要出了客户端，就不应该存在明文密码相关字符！

[timwei]

两害取其轻 8-)

申请删除 Youtube 帐号也一直要我提交个人敏感信息，我就放弃删除了

[bolide2005]

没啥说的，明文给客服看，这种操作不能接受

B 站的安全规则一直很迷，我之前也发过一个帖子

[shintendo]

@fuxiaohei 人为审核结果很正常，这里的问题是客服人工经手密码，which 完全可以用表单取代

[mztwfed]

所以说，取个好标题并做好解释是多么重要

[bestkayle]

@mztwfed #99 别戳伤疤了，犯过好几次这样的错误。