HTTP 与 HTTPS

Web 课程的一部分

想象你正连着咖啡馆的免费 wifi。同一个网络里的另一个人，只要跑一个再普通不过的抓包工具，就能看到你的笔记本电脑发出的每一个请求。如果浏览器走的是明文 HTTP，那个人可以一边看着你输入登录表单，一边看到那个让你保持登录状态的会话 Cookie，还能把你访问过的每一个网址抄下来。HTTP 里没有任何东西是为了阻止这件事而设计的。它本来也不打算管这个：它诞生于 1991 年，用途是搬运文档，那个年代没人想过浏览器标签页里会装着一个银行会话。

HTTPS 就是解决办法。它是浏览器给你显示一把锁而不是一个警告的原因，也是“这个站点是不是 HTTPS”成为人人都能做的第一道、也是最省事的一道安全检查的原因。这一课要讲的，是那把锁到底给你买来了什么，以及同样重要的，它没有买来什么。 ...