> Куда помещать пароль в HTTP запросе, чтобы он был зашифрован и не был виден сниферу (iOS, Swift)

Пароль следует передавать в теле HTTP-запроса (body) с использованием протокола HTTPS. Это обеспечивает шифрование всего содержимого запроса, включая тело, заголовки и URL, на транспортном уровне (TLS/SSL). Снифер сможет увидеть только факт соединения и домен, но не сами данные.

В мобильной разработке на Swift для iOS это реализуется через URLSession с обязательным использованием HTTPS. Пример:

SWIFT
var request = URLRequest(url: URL(string: "https://api.example.com/login")!)
request.httpMethod = "POST"
request.setValue("application/json", forHTTPHeaderField: "Content-Type")
let body = ["username": "user", "password": "secret"]
request.httpBody = try? JSONSerialization.data(withJSONObject: body)

let task = URLSession.shared.dataTask(with: request) { data, response, error in
    // обработка ответа
}
task.resume()

Важно: Никогда не передавайте пароль в URL (GET-параметры) или в заголовках без HTTPS - они не шифруются и видны сниферу. Даже с HTTPS избегайте передачи пароля в URL, так как он может быть залогирован на сервере или в истории браузера. Используйте POST с телом запроса и всегда проверяйте валидность SSL-сертификата на клиенте.