HTTPS 对前端安全有什么意义？
简化版
HTTPS 通过 TLS 提供加密传输、身份认证和完整性保护，防止数据被窃听、篡改和中间人攻击。前端安全中，HTTPS 还是很多现代能力的基础，例如 Secure Cookie、Service Worker、定位等敏感 API。
详细版
HTTP 明文传输，容易被窃听和篡改。HTTPS 解决三个问题：
- 加密：第三方难以读取传输内容。
- 认证：通过证书确认服务器身份。
- 完整性：防止数据在传输中被篡改。
前端相关影响：
- Cookie 可设置 Secure，只在 HTTPS 发送。
- 浏览器会限制非安全上下文使用某些 API。
- 避免页面资源被运营商或中间人注入。
- 防止登录、支付等敏感数据明文暴露。
但 HTTPS 不等于网站完全安全，XSS、CSRF、越权仍需单独防护。
完整版教学
一、HTTP 的问题
HTTP 是明文协议。用户和服务器之间的网络节点可能看到请求内容，甚至篡改返回页面。
例如登录密码、Cookie、接口数据如果明文传输，就可能被窃取。
HTTPS 在 HTTP 和 TCP 之间加入 TLS，解决传输安全问题。
二、TLS 提供什么
加密保证中间人看不懂内容。身份认证通过证书链确认你访问的确实是目标服务器。完整性校验保证数据传输中没有被悄悄改掉。
这些能力组合起来，能显著降低中间人攻击风险。
三、前端工程注意点
页面本身是 HTTPS，但如果加载 HTTP 图片、脚本或接口，会出现混合内容问题。浏览器可能拦截主动混合内容，如脚本和接口请求。
Cookie 应设置 Secure，确保只在 HTTPS 下发送。生产环境接口、CDN、字体、图片都应尽量走 HTTPS。
四、面试追问与工程落地
面试官可能问：“HTTPS 能防 XSS 吗？”
不能。HTTPS 防的是传输过程被窃听和篡改，XSS 是页面自身执行了恶意脚本。两者解决的问题不同。
工程中要开启 HSTS，让浏览器后续强制使用 HTTPS 访问，减少降级攻击风险。
五、TLS 握手为什么同时提供认证与密钥
客户端先验证证书链、域名和有效期，再通过握手协商会话密钥；后续 HTTP 数据使用高效对称加密传输。证书不是用来直接加密整段业务数据，而是帮助认证服务器并安全建立密钥。
客户端 ClientHello ─────────────→ 服务器
客户端 ← ServerHello + 证书 + 密钥材料
验证证书、派生会话密钥
客户端 Finished ────────────────→ 服务器
之后：HTTP 数据加密并做完整性保护假设网络 RTT 为 80ms，额外一次往返就可能增加约 80ms 的连接等待；TLS 1.3、会话恢复和连接复用能减少重复握手成本。性能优化不能通过关闭证书校验来换取，那会直接失去身份认证。
HTTPS 保护的是“客户端到终止 TLS 的节点”这段链路；若 CDN 解密后到源站仍走明文，后半段仍需单独保护。
六、HSTS、混合内容与上线检查
HSTS 告诉浏览器在有效期内只用 HTTPS 访问：
Strict-Transport-Security: max-age=31536000; includeSubDomains| 配置 | 收益 | 上线风险 |
|---|---|---|
Secure Cookie | 不在 HTTP 请求发送 | 仍需 HttpOnly/SameSite |
| HSTS | 阻止后续 HTTP 降级 | 长 max-age 回退困难 |
includeSubDomains | 覆盖全部子域 | 任一旧子域不支持 HTTPS 会不可达 |
| preload | 首次访问前也强制 HTTPS | 提交前必须完成全域准备 |
上线先用较短 max-age 验证，再逐步延长；启用 includeSubDomains 或 preload 前盘点所有子域。页面、接口、脚本、字体、WebSocket 都要使用安全方案，避免主动混合内容被浏览器拦截。
监控证书到期天数、链配置、协议版本和 CDN 回源。比如在证书到期前 30、14、7 天分级告警，避免自动续期失败直到线上中断才发现。
七、常见误区与追问
- 误区：HTTPS 能防住 XSS、CSRF 和越权。 它保护传输链路，应用注入和权限漏洞仍需独立治理。
- 误区：证书是用来直接加密所有页面数据的。 握手阶段建立身份与会话密钥，批量数据主要用对称加密保护。
- 误区：主页面是 HTTPS 就没有混合内容。 HTTP 脚本、接口、字体和 WebSocket 仍会削弱或破坏安全上下文。
- 追问：HTTPS 还能隐藏域名和流量大小吗？ 不能完整隐藏；网络观察者仍能看到 IP、时序、大小，部分握手元数据也可能可见。
- 追问：HSTS 为什么要渐进上线？ 长有效期和子域覆盖会被浏览器记住，配置错误难以立即回退。
- 追问：CDN 使用 HTTPS 后源站可否走 HTTP？ 技术上可能，但 CDN 到源站链路仍暴露，敏感业务应端到端保护并验证源站证书。
- 追问：证书校验失败能否临时忽略？ 生产客户端不应忽略，否则中间人可伪装服务器。
八、加强记忆
- 三属性：加密防窃听、认证防冒充、完整性防篡改。
- 握手机制：证书验证身份，协商出的对称密钥保护业务数据。
- 前端要求：全资源 HTTPS、Cookie Secure、安全上下文 API。
- 强制升级：HSTS 渐进配置，子域和 preload 必须先盘点。
- 运维闭环：证书续期、CDN、源站和协议监控缺一不可。
- 边界清晰：HTTPS 不修复应用层漏洞，也不隐藏所有网络元数据。