HTTPS 与 TLS 到底在保护什么

HTTPS 不是一种新协议

HTTPS = HTTP + TLS。TLS 在传输层把内容加密，上层还是普通 HTTP。所以「用了 HTTPS 就安全」只对一半：它防的是传输途中被窃听和篡改，不解决服务端本身是否可信。

证书验证在验证什么

1. 身份：证书由 CA 签发，浏览器核对域名是否匹配、签发机构是否受信任；
2. 完整性：握手协商的密钥用于加密，中途数据被改会立刻失败；
3. 时效：证书有有效期，过期必须续签。

常见误解

• 自签名证书不等于不安全：加密强度一样，只是没有可信 CA 背书，浏览器会警告；
• TLS 1.0 / 1.1 已淘汰：至少用 1.2，优先 1.3；
• 内网也要 HTTPS：内网流量同样可能被嗅探或中间人。

动手试试

对称加密示例：对称加密、Base64 编解码。