redirect - 对于完全加密，我的初始请求需要是 HTTPS 还是足以让服务器将 HTTP 重定向到 HTTPS？

Question

我们开发了一个桌面应用程序，它向我们自己的 API 端点发出请求。现在，桌面应用程序向我们的 API 发出的所有请求都是 HTTP。我现在希望对来自应用程序内的所有这些请求进行加密。仅仅通过 .htaccess HTTP 到 HTTPS 的重定向就足够了吗？或者我是否需要进入应用并确保每个请求都以 HTTPS 开头？

Answer 1

您确实需要首先确保每个 API 请求都是通过 HTTPS 完成的。

重定向(如果它甚至可以与 POST 请求一起使用)只会导致请求被发送两次(并且第一个将是未加密的，以便窃听者可以读取所有内容)。

此外，如果您的应用不需要 HTTPS(可能带有固定的服务器证书)，它就会受到中间人攻击:中间人只能拦截请求，永远不会将您连接到 HTTPS，随意更改响应数据，您的应用不会介意。