QQ的密码是明文的吗

DebugLZQ在这篇文章里写了webQQ登陆过程，这个过程我没有去验证，但是我却突然想到另一个问题，那QQ的密码是明文的？

 

现在我简单总结一下这个登陆过程：

1. 输入：QQ号，用户的明文密码，验证码

2. 将输入进行哈希（MD5）

3. 将QQ号、验证码、哈希值传输，因为验证码每次不一样，所以计算出来的哈希，每次都是不一样的

4. 服务器端验证，成功或者失败

 

前面3步都很正常，也很安全，就算在第3步，把QQ号、验证码、哈希值得到，还是无法解出用户的密码。 

既然我们普通人员无法解出密码，那么服务器也是从用户请求的值解出密码的。

那么，问题来了，服务器是怎么验证用户的有效性的呢？

 

1. 验证哈希值——假设服务器存储的是密码哈希的值，那么很简单，验证哈希值与服务器上存储的哈希值是否一致即可——可是，这个哈希值是每次登陆，都会变化的，也就是服务器不能存一个静态的哈希值，所以，不会是验证哈希值。

    这个方法行不通 

2. 通过在服务器端运行同样的哈希过程，然后比较哈希值——这个过程是可行的，因为大家使用同样的输入和计算过程，那么最终得到结果肯定是一样的。

    但是，这有一个前提： 那就是服务器端具有与用户同样的输入值：

    用户的输入值有：QQ号、密码、验证码

    所以，服务器端需要拿到用户的明文密码才可能重现哈希过程。

3. 其他办法验证？我暂时想不出来，还有其他办法验证用户身份——欢迎提供其他验证思路

 

所以，我的结论是：

验证服务器是可以取到用户的明文密码的——也就是说存储的要么是明文密码（虽然这种可能性不大），要么存储的是可逆加密的密码。

至于腾讯公司，在内部采用了什么办法来保证密码不会被泄露，就不得而知了。