用 HTTPS 的加密不加密就没多大关系，用 HTTP 的也勉强有点拖时间的作用，前者会自动在传输上使用非对称加密，所以在数据传输过程中即使被人打下来也拿不到原密码，后者如果为明文，那就直接被拖走，如果为加密，那攻击者还必须知道你加密的方式，不过这点在前端基本都是透明的，只要多费点心思查一下网页 js 就清楚了。所以如果网站的用户表比较重要的话还是上 HTTPS 吧。