情况一：从HTTP页面跳转访问HTTPS页面

　　事实上，在 PC 端上网很少有直接进入 HTTPS 网站的。例如：支付宝网站大多是从淘宝跳转过来，如果淘宝使用不安全的 HTTP 协议，通过在淘宝网的页面里注入 XSS，屏蔽跳转到 HTTPS 的页面访问，那么用户也就永远无法进入安全站点了。

　　尽管地址栏里没有出现 HTTPS 的字样，但域名看起来也是正确的，大多用户都会认为不是钓鱼网站，因此也就忽视了。也就是说，只要入口页是不安全的，那么之后的页面再安全也无济于事。

　　情况二：HTTP页面重定向到HTTPS页面

　　有一些用户通过输入网址访问网站，他们输入了www.alipaly.com 就敲回车进入了。然而，浏览器并不知道这是一个 HTTPS 的站点，于是使用默认的 HTTP 去访问。不过这个 HTTP 版的支付宝的确也存在，其唯一功能就是重定向到自己 HTTPS 站点上。劫持流量的中间人一旦发现有重定向到 HTTPS 站点的，于是拦下重定向的命令，自己去获取重定向后的站点内容，然后再回复给用户。于是，用户始终都是在 HTTP 站点上访问，自然就可以无限劫持了。而全站HTTPS化可以确保用户在访问网站时全程HTTPS加密，不给中间人跳转劫持的机会。国外各大知名网站(PayPal,Twitter,Facebook,Gmail,Hotmail等)都通过全站HTTPS技术措施来保证用户机密信息和交易安全，防止会话劫持和中间人攻击。

　　那么问题来了，为什么HTTPS百般好，全世界却还有过一半的网站还在使用HTTP呢?

　　首先，很多人还是会觉得HTTPS实施有门槛，这个门槛在于需要权威CA颁发的SSL证书。从证书的选择、购买到部署，传统的模式下都会比较耗时耗力。

　　其次，HTTPS普遍认为性能消耗要大于HTTP。但事实并非如此，用户可以通过性能优化、把证书部署在SLB或CDN，来解决此问题。举个实际的例子，“双十一”期间，全站HTTPS的淘宝、天猫依然保证了网站和移动端的访问、浏览、交易等操作的顺畅、平滑。通过测试发现，经过优化后的许多页面性能与HTTP持平甚至还有小幅提升，因此HTTPS经过优化之后其实并不慢。

　　最后是安全意识。相比国内，国外互联网行业的安全意识和技术应用相对成熟，HTTPS部署趋势是由社会、企业、政府共同去推动的。

 2/2   首页 上一页 1 2