要讨论的地方就三个点
1.客户端安全 就你举的例子，我直接监听输入不就得了，你就是在 html 页面写出花来我监听键盘输入就搞定了，证书之类的纯属多余。
2.传输层安全 除非你使用的是非正式的证书或 CA 机构不可信导致传输过程被破解，这个有可能，但概率极小，而且一般来说价值不匹配
3.服务端安全 现在基本上都标配 Bcrypt 了吧，很少有直接明文存密码的。如果非要说网关层有泄露的风险，那我只能说你别扯了，有这功夫我插入个 js 脚本到返回的 html 页面中都比你入侵网关去查某一个接口的请求响应拿到的东西更多。

你要真保证绝对安全， 就用硬件来保证，至少比纯密码方案靠谱几倍，直接分发硬件加密码的方式，每次登录硬件生成随机密码来登录，比你折腾那玩意靠谱多了。