ssl - 将敏感数据作为查询字符串参数发送

Question

我们正在审查系统的设计。并且需要验证我们认为可能是安全问题。

在这个系统中，一些敏感信息在查询字符串中发送。问题是:

• 即使请求是通过 https 发送的，当请求通过 Internet 时，能否读取查询字符串参数？
• 能否从客户端机器上的浏览历史中读取查询字符串参数？

Answer 1

当您使用 HTTPS 时，SSL/TLS 连接在发送任何 HTTP 流量之前建立，因此整个请求(包括 URL 及其参数)将被加密并且不可读。第三方唯一可能看到的是服务器证书(因此他们可以看到主机名，但仅此而已)。

浏览器的历史记录不受 HTTPS 本身的任何保护，尽管某些浏览器可能有一些“安全浏览”选项，这些选项可能会自动删除一些 HTTPS URL。这最终实际上取决于浏览器及其配置。