.net - HTTPS - iPhone 到 API - URL 安全吗？

Question

据我所知，当通过 HTTPS 保护您的网站时，包含查询字符串的 URL 会被加密，并且仅在与主机建立连接后才会发送，因此窃听者无法使用此 URL。

但是，有人告诉我们事实并非如此，至少在 iPhone 到 .Net (MVC) API 连接的情况下，他建议将此敏感信息添加到 HTTP header 中。

那么，我们是否可以依赖加密的查询字符串，或者最好改变我们的工作方式并将其添加到建议的 header 中？

Answer 1

任何 HTTPS 连接的工作方式都是相同的:

1. 客户端连接到服务器上的端口 443(通常，如果在 URL 中指定，则可以是不同的端口)，建立 TLS session
2. 在 TLS session 内，执行 HTTP:发送命令(“GET”)、查询字符串、HTTP header ，并获取响应

唯一未加密的是服务器主机名的 DNS 查找，以及与服务器 IP 地址的连接。其他一切都是安全的。

注意:这假设您没有代理在中间做愚蠢的事情。