实时聊天用户和服务器之间信息加密过程

我现在的理解是登陆时候用户发送账号，密码。然后服务器验证，正确后返回一个cookie，和key，用户要保存cookie就用key加密，要用的时候从数据库取出来解密，（我的目的是防止别人窃取cookie后模范用户动作），有请求就加上cookie，服务器收到后验证cookie时效，可以就接受请求
但是用抓包工具发现账号，密码直接暴露了，如果发送账号密码时候先加密，服务器再解密，那就要公共key，别人如果反编译了，不还是能拿到公共key吗谢谢，请尽量详细点，现在有点混乱