本发明公开了一种适用于web系统中的无需服务器端存储用户口令相关信息的口令认证与密钥协商协议，其包括以下步骤：A、初始化阶段：服务器Sj初始化参数X作为自己的秘密值，保存在数据库中；B、注册阶段：合法用户Ui如果想要与服务器Sj建立会话，需要先向服务器发起注册请求；C、登录和认证阶段，已注册的用户向服务器发送登录请求，服务器验证用户身份并与用户协商生成会话密钥；D、口令修改阶段。本发明解决了web系统中服务器端口令信息泄露的问题，服务器端无需存储任何用户口令的相关信息却依然能够通过验证用户口令的方式来验证用户身份，并且在同类安全协议中具备较高的效率。