常见原因是前端未发送请求或格式错误：如未阻止表单默认提交、密码空格处理不当、加解密方式不一致、Content-Type 错误、字段名与后端不匹配等。
密码前端输入不触发后端校验，常见原因是什么
多数情况不是后端没写逻辑，而是前端没发请求或发错格式。HTML5 的 <input type="password"> 本身不带校验能力，它只负责隐藏字符显示；真正触发后端验证，必须靠 JS 主动调用接口，比如在点击「登录」按钮时执行 fetch() 或 axios.post()。
容易踩的坑：
- 表单用了
submit但没event.preventDefault()，导致页面跳转、请求中断 - 密码字段被 JS 读取时用了
input.value.trim()，但后端要求空格敏感（如某些旧系统） - 前端对密码做了 MD5/SHA 加密再传，而后端 expecting 明文（或反过来）——两边加解密方式没对齐
- Content-Type 错设成
text/plain，后端解析不到password字段
前后端密码字段命名和传输格式怎么对齐
后端接口文档里写的参数名，必须和前端请求 payload 中的 key 完全一致，包括大小写和下划线。比如后端接收的是 { "user_pwd": "123456" }，前端就不能传 password 或 pwd。
实操建议：
立即学习“前端免费学习笔记（深入）”；
- 用浏览器 DevTools 的 Network 面板看「Payload」选项卡，确认发出的 JSON 或 Form Data 确实含密码字段，且值非空
- 如果后端用 Spring Boot，检查 Controller 方法参数是否加了
@RequestBody（JSON）或@RequestParam（query/form），别混用 - Node.js + Express 场景下，确保已启用
body-parser中间件，否则req.body是空对象 - 移动端 WebView 或小程序联调时，注意 referer 或 cookie 携带策略可能拦截请求，先用 Postman 模拟相同 header 测试通路
密码明文传输是否安全？开发阶段怎么平衡调试与合规
HTTP 明文传密码永远不安全，但开发联调时，只要走的是本地 http://localhost 或内网 http://192.168.x.x，且不录日志、不存 DB，可临时接受。上线前必须切 HTTPS，且前端不应做任何客户端加密来“替代” HTTPS——那只是掩耳盗铃。
关键控制点：
- Chrome 控制台里不要
console.log(password)，尤其别 log 整个 form data 对象 - 后端日志中禁止打印原始密码字段，Spring 可用
@JsonIgnore或日志脱敏配置 - 若需模拟加密流程（如对接老系统要求 RSA 公钥加密），前端用
jsencrypt库时，务必确认公钥加载成功（encrypt.getPublicKey()返回非 null） - 密码长度校验前后端都要做：前端用
input.minLength提示用户，后端用if (pwd.length 拒绝，不能只信前端
联调时报 400/401/500 却看不到具体错误，怎么快速定位
这类状态码背后的真实问题，往往藏在响应体（Response）里，而不是状态行。比如 400 Bad Request 可能是 JSON 解析失败，也可能是密码为空字符串；401 Unauthorized 不一定是密码错，更可能是 token 缺失或 session 过期。
排查顺序建议：
- 先看 Response Preview / Response Text，搜索关键词：
"message"、"error"、"invalid" - 后端开启 debug 日志，重点盯住 Controller 进入前的参数绑定日志（如 Spring 的
Resolved argument） - 用 curl 手动复现请求，绕过前端 JS，确认是不是前端拼参逻辑的问题：
curl -X POST http://api.example.com/login -H "Content-Type: application/json" -d '{"username":"a","password":"b"}' - 检查密码字段是否被浏览器自动填充插件篡改（如 Bitwarden 有时会注入
data-xxx属性干扰 JS 获取值）
最常被忽略的一点：前后端时间不同步导致 token 签名失效，或密码重置链接带有时效参数，测试时没注意系统时间差。
