然后只有这种格式的才叫 json 。（用一对花括号包裹{}） 我觉得 LZ 你可能也没了解全貌。。。纸面上的 json 格式，只要能被 js eval()，都算合法的。 看官网吧 https://www.json.org/ ，你说的是第一种情况，object ，第二种情况就是 An array is an ordered collection of values 。。。 当然把密码搞进去比较离谱，但是 json 格式其实非常宽松。。。。
HTTPS 传输的 token 可以真么干 存数据库的密码不能这么干 而且楼主，密码不能只做一次 md5 就存储，md5 不安全而且没有盐会有彩虹表攻击，正确的做法是用 argon2 或者 scrypt 加盐哈希再存储
