如果 js 只是单纯的加密密码是没用的，黑客也不用知道你原始密码，知道你加密后的密码就行，传给服务端服务端自己会解密成原始密码。 js 加密要和服务端结合才行，做到一次一密。先从服务端拿个动态 token(初始向量)然后再加密传输到服务端，这样那种一般的抓包就不行了，必须要拿到你的 js 来解密。

当然一切前端的东西都是不可信的，不过也能提高黑客的成本，能上 https 还是上 https 吧。

还有楼上有些同学可能对 PHP 不了解， PHP 的 password_hash 函数就是专门搞这个事情的，把密码 hash ，还可以自己加 salt ，还能保证不同密码长度完成加密时间一样。非常可靠和安全。如果后端是 PHP 的话就不要自己造轮子了。