REST API CURL - 不是 SSL 加密 - 安全吗？

Question

我在我的网站上托管了一个脚本，它将使用 Curl 和 REST API 从域名调用该网站，

我无法让 REST API 使用 SSL 证书，我不确定为什么。

但是，如果我不使用 SSL 而只是不加密地发送它，这是否意味着某处另一台电脑上的某个人可以拦截我的电话？或者他们需要访问我的服务器才能“监听”吗？

基本上我想知道如果我不加密调用会有多大风险(我会被黑客入侵)吗？

Answer 1

如果您在上游调用 REST API 时未使用 TLS，则所有请求和响应都将以明文形式发送。

由于您是在上游进行调用，因此上游网络路径中存在的任何人都能够拦截您的流量。这通常意味着您的站点(或 VPS)主机、他们使用的 ISP 以及逻辑网络路径中出现的任何人，直到托管服务的服务器。如果他们是恶意的，他们可以篡改数据或记录您发送或接收的 secret 信息。

does that mean someone on another pc somewhere can intercept my calls?

不，互联网上的任何人都无法拦截您的数据。只有通过您的数据包路由的设备才有权拦截它们。

Or would they need access to my sever to be able to "listen in"?

不，他们不需要访问您的服务器来执行此操作。他们可以被动拦截传入和传出的数据。

总结

如果不使用 TLS，总是有风险。但是，您必须已经信任您的主机和他们使用的 ISP，才能与他们签约。尽管在您的情况下攻击面减少了，但它不是零。因此，我强烈建议使用 API 的 TLS 版本。

安全总比后悔好。