🌐 前言
你好呀，我是你的人类朋友！
本文主要讲讲 HTTP 为什么不安全，以及 HTTPS 如何解决这些问题。
❗❗ 核心问题速览
HTTP（超文本传输协议） ：互联网上应用最广泛的网络协议，但数据以明文形式传输。注意，是明文，谁都能看！！
HTTPS（安全超文本传输协议）：HTTP 的安全版本，= HTTP + SSL/TLS 加密，就像把明信片放进防拆信封里寄送，别人无法看到信息的内容。
补充知识 1 ：SSL/TLS在【传输层】对 HTTP 数据进行加密，确保隐私和完整性。
补充知识 2：这边顺便整理一下计算机网络的各个层次
计算机网络通常采用分层模型来组织其复杂的通信过程，其中最核心的是 OSI 七层参考模型和 TCP/IP 四层模型。
OSI 模型是一个理论框架，从下至上依次为：物理层（传输比特流）、数据链路层（管理相邻节点间的帧传输）、网络层（负责寻址和路由，实现跨网络通信）、传输层（提供端到端的可靠或不可靠数据传输）、会话层（建立、管理和终止会话）、表示层（处理数据格式、加密解密）和应用层（为应用程序提供网络接口）。
而实际应用中广泛采用的是更简洁的 TCP/IP 模型，它融合了 OSI 的上三层为应用层，保留了传输层和网络层（在 TCP/IP 中称为网际层），并将 OSI 的底两层合并为网络接口层。数据发送时，会从应用层开始，每经过一层都会被添加该层的头部信息（封装），形成数据段、数据包、帧，最终在物理层变为比特流发送出去；接收方则反向操作，逐层解析头部信息（解封装），最终将原始数据送达目标应用程序。
🔓 HTTP 的四大安全隐患
1. 窃听风险（明文传输）
问题：HTTP 传输的所有数据（密码、聊天记录、信用卡号）都是明文的，攻击者可以轻松窃听。
真实场景：
-
在公共 WiFi 上登录网站，管理员可能看到你的密码。
补充解释：为啥？因为在公共 WiFi 上，即使你登录的是 HTTPS 网站，网络管理员也能通过中间人攻击手段（如 SSL 剥离或伪造证书）将你的安全连接降级为 HTTP 连接。这时你输入的密码就会以明文形式传输，被管理员直接窃取。简单说，不是公共 WiFi 等于 HTTP，而是攻击者能让你从 HTTPS"掉进"HTTP 的陷阱。
-
网络服务商可以监控你的浏览历史
-
同一网络下的其他用户可能嗅探你的数据
2. 篡改风险（数据可修改）
问题：传输途中数据可能被中间人修改。
真实场景：
- 下载软件时，攻击者将正常软件替换为病毒版本
- 浏览网页时，攻击者插入恶意广告或钓鱼链接
- 转账时，收款账户被篡改为攻击者的账户
3. 冒充风险（无身份验证）
问题：HTTP 无法验证网站真实身份，你访问的可能是假冒网站。
真实场景：
- 访问
www.taobao.com，实际连接到钓鱼网站 - 银行 APP 与假服务器通信，泄露账户信息
- 下载的"官方应用"其实是恶意软件
4. 信息泄露（无加密保护）
问题：Cookie、Session 等身份凭证明文传输，容易被盗用。
真实场景：
- 盗用你的 Session Cookie，无需密码登录你的账户
- 获取你的身份令牌，进行未授权操作
- 窃取浏览记录等隐私信息
🛡️ HTTPS 如何解决这些问题？
太好了！是 HTTPS，我们有救了！
加密传输 → 防窃听
HTTPS 使用对称加密保护数据传输，即使被截获也是乱码。
数字证书 → 防冒充
通过CA 机构颁发的数字证书验证网站身份，确保你访问的是真实网站。
消息摘要 → 防篡改
使用哈希算法生成消息验证码，数据有任何修改都会被立即发现。
安全握手 → 建立信任
TLS 握手过程安全【交换密钥】，为后续通信奠定安全基础。
💡 这边用表格做一下对比！
| 特性 | HTTP | HTTPS |
|---|---|---|
| 数据传输 | 明文 | 加密 |
| 身份验证 | 无 | 数字证书 |
| 数据完整性 | 无保护 | 哈希验证 |
| 默认端口 | 80 | 443 |
| 性能 | 较快 | 稍慢（可忽略） |
| SEO 排名 | 较低 | 较高 |
🚨 常见误解澄清
问：我在网站上没输入敏感信息，用 HTTP 没关系吧？
答：戳 ❌️！！HTTP 下你的浏览记录、Cookie、Session 都可能被窃取，攻击者可能盗用你的身份。
问：HTTPS 会很慢吗？答：现代 HTTPS 性能损失很小（<1%），远小于安全带来的收益。
问：有锁图标就是绝对安全吗？答：布兑！HTTPS 只保证传输安全，不保证网站本身可信。钓鱼网站也可能有有效的 HTTPS 证书。
📈 重要发展历程
- 1994 年：网景公司推出 SSL 1.0（未发布）
- 1995 年：SSL 2.0 发布，但存在严重漏洞
- 1996 年：SSL 3.0 大幅改进安全性
- 1999 年：TLS 1.0 取代 SSL 成为标准
- 2018 年：Chrome 将 HTTP 网站标记为"不安全"，说实话，这么晚这么搞我是没想到的。
- 2020 年：TLS 1.3 成为主流，更安全更快速
- 现在：HTTPS 已成为 Web 标准配置
👋 最后的安全建议
- 运维必知：配置 HSTS 防止 SSL 剥离攻击
记住：在现代互联网中，HTTP = 不安全，任何重要操作都应在 HTTPS 下进行！
下次见~