reactjs - 我应该在带有 SSL 的 Nginx 服务器上为 React 应用程序启用 Gzip 吗？

Question

我有一个构建大小相当大的 React 应用程序，它部署在带有 SSL 的 Nginx 服务器上。我了解了一些有关 GZip 以及它如何提高网站性能的知识。但我也发现使用 GZip 和 SSL 并不安全。Nginx 中默认对 HTML 文件启用 GZip。我是否应该为 Javascript 和 CSS 等其他文件启用它以提高性能？

Answer 1

当你说

it is not to safe to use GZip with SSL

我假设您正在谈论 Breach Attack 。为了使压缩响应的破坏攻击成功，需要满足两个条件:

1. 在 HTTP 响应正文中反射(reflect)用户输入
2. 在 HTTP 响应正文中反射(reflect) secret (例如 CSRF token )

当您发送压缩的 js/css 文件作为响应时，通常不会在响应中反射(reflect)用户输入。这意味着调用 js/css 文件 url 只会返回该文件。

此外，您通常不会在响应中返回任何敏感数据以及压缩的 js/css 文件。

所以，是的，对 js/css 资源使用 Gzip 压缩是完全安全的。静态响应不易受到此攻击。