🔒 HTTPS 与传输安全

全站 HTTPS 是安全底座。明文 HTTP 下，token、密码、会话全在链路上裸奔。依据 MDN HTTPS、OWASP Transport。

---

1. 基础

• 全站 HTTPS，禁止明文 HTTP（HSTS 头：Strict-Transport-Security: max-age=31536000; includeSubDomains）。
• 敏感接口必须 HTTPS，否则 token 在链路上裸奔。
• 混合内容（HTTPS 页加载 HTTP 资源）会被浏览器拦截。

---

2. 高级进阶

• 证书管理：用 Let's Encrypt / 云厂商自动化续期，避免过期宕机。
• HSTS Preload：提交到浏览器预加载列表，首次访问也强制 HTTPS。
• TLS 版本：禁用 TLS1.0/1.1，至少 TLS1.2。
• 敏感数据不进 URL：token 别放 query（会进日志/Referer），放 Header 或 Body。

token 进 URL 的坑

把 ?token=xxx 放在链接里，token 会出现在：服务器访问日志、浏览器历史、Referer 头、运维监控。一律放 Authorization 请求头。

---

3. 使用场景

• 对外服务：强制 HTTPS + HSTS + 预加载。
• 内网管理后台：同样上 TLS，内网也可能被嗅探。
• 第三方回调：校验来源 + 签名，别只靠 HTTPS。

---

4. 下一步

• 凭证存储安全看 认证与授权。
• 跨域配置看 CORS 跨域资源共享。