我目前正在研究某些类型的身份验证协议，特别是ntlm和Google的restidenttoolkit api（identitytoolkit.googleapis.com/v1/)。

在我看来，NTLM仍然很不安全，它在密码方面做了一些有趣的事情：它不会通过网络发送密码。首先，服务器发送一个质询，该质询必须与用户密码一起进行哈希处理，并且该哈希将被发送到服务器进行身份验证。当然，要做到这一点，服务器端的密码一定不能加密，以便服务器可以对它进行哈希处理，以验证用户身份。

要通过Google的identitytoolkit API进行身份验证，我们会在请求正文中以纯文本形式发送POST请求，并提供用户名和密码。此事务中唯一的安全层是ssl / https协议，但这并不是真正的安全（https://qr.ae/pNK4Js）。

现在，我的问题是：为什么公司会自信地这样做？为什么不在身份验证中采用一些类似NTLM的策略？仅仅依靠ssl似乎非常不安全。