security - 在 http 字符串中传递用户名/密码对此 API 安全吗？

Question

读完 http://getpocket.com/api/docs/

通过 HTTP 字符串传递密码是否安全？我的理解是这不安全，即使它是 HTTPS。正确吗？

Answer 1

API 文档指出您正在通过 HTTPS 进行传递。实际上，HTTP header 中的所有信息(无论是 GET 还是 POST)都是 SSL 传输的一部分，因此 URL 参数也被加密，因此您的 GET 参数也被加密。无法保证的是您的客户会保留什么。或者如果有一些其他进程暴露了一些信息，例如当您的服务器对主机名进行 DNS 查找时。另一个例子是，如果你有一个浏览器，它会保留你在其中输入的所有内容的历史记录，包括你的 https url，那么你可能会危及你的安全。

下面是 HTTP header ，您的客户端将启动 TCP 连接并发送如下内容:

GET /tutorials/other/top-20-mysql-best-practices/ HTTP/1.1  
Host: net.tutsplus.com  
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.1.5) Gecko/20091102 Firefox/3.5.5 (.NET CLR 3.5.30729)  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8  
Accept-Language: en-us,en;q=0.5  
Accept-Encoding: gzip,deflate  
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7  
Keep-Alive: 300  
Connection: keep-alive  
Cookie: PHPSESSID=r2t5uvjq435r4q7ib3vtdjq120  
Pragma: no-cache  
Cache-Control: no-cache

SSL 将规定所有信息连同发回的任何内容都被加密。我会说你使用这个 API 是安全的，GET 和 POST 方法之间的唯一区别是，在 POST 中，参数在正文中，而在 GET 中，参数在 header 中。在这两种情况下，所有敏感信息均已加密。