HTTPS 中间人攻击：原理、实践、为什么 HTTPS 还不够

HTTPS 中间人攻击：原理、实践、为什么 HTTPS 还不够第一次知道 HTTPS 时觉得——这下网络安全了。后来才知道，HTTPS 拦不住中间人攻击，拦得住的只有"正确实现的 HTTPS"。什么是中间人攻击 MITM：攻击者把自己塞到客户端和服务端中间，两边的通信都要经过他。 HTTPS 怎么挡 MITM HTTPS = HTTP + TLS。TLS 干三件事：加密、认证、完整性。 HTTPS 经常被绕过弱证书校验：App 不验证证书 CA 被骗签发证书用户主动忽略警告实战我搭了一次完整的 MITM 环境，用 Fiddler 重定向 CONNECT 请求到自建 nginx 服务器。结果： Chrome：开了 HSTS，直接报错不能继续 Edge：弹对话框询问，用户点继续就被劫持知乎 iOS：直接无视证书错误 360 浏览器：号称"安全"，直接建立 SSL 通道怎么真拦住 MITM 强制 HTTPS + HSTS Certificate Pinning DNSSEC / DoH VPN 客户端正确实现证书校验