google-app-engine - URL 获取服务 - https 是否安全？

Question

我想使用应用引擎 (java) 的 URL 获取服务。我只是从 servlet 向我自己的一台服务器发送 POST。

AppEngine -> post-to: https://www.myotherserver.com/scripts/log.php

我正在阅读 url fetch 文档:

Secure Connections and HTTPS
An app can fetch a URL with the HTTPS method to connect to secure servers. Request and response data are transmitted over the network in encrypted form.

The proxy the URL Fetch service uses cannot authenticate the host it is contacting. Because there is no certificate trust chain, the proxy accepts all certificates, including self-signed certificates. The proxy server cannot detect "man in the middle" attacks between App Engine and the remote host when using HTTPS.

我不明白 - 如果我使用 https，第一段听起来像是从应用引擎上的 servlet 到我的 php 脚本的所有内容都是安全的。第二段听起来好像相反，它实际上并不安全。是哪个？

谢谢

Answer 1

HTTPS 为您做了两件事。一种是对您的数据进行加密，这样当它通过互联网、各种路由器和交换机传输时，没有人可以偷看它。 HTTPS 所做的第二件事是验证您实际上是在与某个服务器通话。这是 App Engine 无法做到的部分。如果您尝试连接到 www.myotherserver.com，则有可能某个名叫 bob 的坏人会拦截您的连接，并伪装成 www.myotherserver.com。您发送给 bob 的所有内容都将在发送给 bob 的途中加密，但 bob 本人将能够获取未加密的数据。

在您的情况下，听起来您同时控制发送服务器和目标服务器，因此您可以使用共享 secret 对数据进行加密以防止出现这种可能性。