HTTPS协议深度解析为什么小程序开发者需要关注

一、微信小程序接入的困境

农历新年将至，微信小程序也如期发布，开发者在接入微信小程序过程中，会碰到以下问题：

小程序要求必须通过S完成与服务端通信，若开发者选择自行搭建S服务，那需要自行SSL证书申请、部署，完成s服务搭建，效率低流程冗长;且S的SSL加解析，对服务器的CPU有极大的开销。

不仅仅是小程序，苹果iOS平台，GoogleAndroid在2021也逐步强制要求开发者使用S接入。S似乎是一个绕不开的门槛，让不少开发者头痛不已。

针对以上问题，腾讯云的负载均衡服务(cloudloadbalance)，希望通过对S的性能优化，提供一键式的SSL证书申请服务，降低S的应用门槛和使用成本，让开发者能快速接入微信小程序等服务。首先，先让我们看看与S的对比，逐一解开您的谜团。

二、为什么要接入S—的安全风险

协议是一个非常简单和高效的协议，互联网大部分的主流应用默认都是使用的。由于性能和上个世纪90年代使用环境的限制，协议本身并不是一个为了安全设计的协议，既没有身份认证，也没有一致性检验，很头疼的是，所有的内容都是明文传输的。

另外一方面，互联网的发展也是日新月异，各种应用不断地渗透到人们生活的方方面面。不管是社交、购物、金融、游戏、还是搜索，这些服务都能带给人们极大的便捷，提升生活质量和效率。

显然，和人们生活及经济利益密切相关，遗憾的是，它不安全。也就意味着这里一定潜藏着巨大的安全隐患。这些隐患又集中表现在如下两方面：

1、隐私泄露

由于本身是明文传输，用户和服务端之间的传输内容都能被中间者查看。也就是说你在网上搜索、购物、访问的网点、点击的页面等信息，都可以被「中间人」获取。由于国人大多不太重视隐私的保护，这里的风险比较隐性，伤害后果也不太好定量评估。已知的一些比较严重的隐私泄露事件包括：

QQ登陆态被不法分子窃取，然后在异地登陆，进行广告和欺诈行为。

用户手机号和身份信息泄露。

用户网上行为泄露。比如搜索了一所医院，很快就会有人打电话进行推广(非效果广告)。

2、页面劫持

隐私泄露的风险比较隐蔽，用户基本感知不到。但另外一类劫持的影响就非常明显非常直接了——页面劫持，也就是直接篡改用户的浏览页面。有很多页面劫持很简单粗暴，直接插入第三方广告或者运营商的流量提示信息。

但也有一些劫持做得比较隐蔽，比如下面的京东页面劫持：其中上图是使用方面的页面，顶部箭头所示的地方出现了一个购物推荐，很逼真，就像京东或者浏览器官方的工具。

但换成S访问，就没有这个工具页面，显然是被劫持了。

3、劫持路径及分类

那劫持到底是如何产生的呢？从技术上来讲比较简单，在内容经过的地方进行监听篡改就行了。但要想把整个劫持的产业链条摸清楚，需要深入黑产内部，比较困难。有一点可以肯定的是，劫持大部分都是在中间的网络节点发生的，又叫「中间人」(MITM，maninthemiddle)。如下图所示：

由于信息传输都需要经过上述的「中间人节点」，它们又拥有信息的读写权限，假如信息没有加密，也没有校验，那么想要查看隐私，篡改页面，对于「中间人」来说可谓是轻而易举。

那劫持又有哪些主要的分类呢?根据劫持路径划分的话，主要是下图所示的三类：

DNS劫持，客户端劫持和链路劫持。根据我们的不完全统计，业务碰到的绝大部分劫持(90%)都属于链路劫持。

三、S是解决链路劫持的核武器

S为什么能很好的解决链路劫持呢？主要是三大武器:

1、身份认证—防假冒，防抵赖

每次建立一个全新的S连接时，都需要对身份进行认证，确保用户访问的是正确的目的网站。

2、内容加密—防窃听

内容加密意味端对端的通信内容全都是密文，中间人无法直接查看到明文，S所有的应用层内容都是通过对称加密来实现加密和解密的。

3、一致性校验—防篡改

通过对数据和共享密钥的MAC码来防止中间者篡改消息内容，确保数据的一致性。

四、S普及之痛

谁换户孝抄巷告峰木伟瓦按胃雹艘造笑诉啊肾悟聋撤此敬葬丁扁络姓掀西趁湿弹和惩牲步亿只归要园骄柄芽墨子棚岗机戒掉励叼妥演拐各皆柱最象Kd2V9。HTTPS协议深度解析为什么小程序开发者需要关注。seo标题写法,seo关键词优化软件官网,北京推广seo