security - 保护部分 HTTP 请求？

Question

如何保护 HTTP 请求的某些部分，比如说他们的 session ID？我知道您可以使用 HTTPS，但是您的服务器必须解密所有请求。只加密请求的必需部分不是很理想吗？

是否有任何框架或资源可以让您或告诉您如何做到这一点？

Answer 1

HTTPS 是正确的工具。解密数据包的计算量非常低。今年早些时候，谷歌将整个 GMail 默认更改为 HTTPS，他们报告说，他们服务器上用于 SSL 加密/解密的 CPU 负载约为 1%。

如果您只加密部分流，那么您仍然会遇到中间人攻击和重放攻击的问题。 SSL 是防止这些的唯一方法。 session ID 是否加密并不重要。如果中间人可以捕获它，他可以以加密形式重用它，而服务器不会知道其中的区别。

Here's a blog post关于自 GMail 切换到 100% SSL 以来 Google 的体验。