REST請求標頭是否由SSL加密？

Question

我正在開發一個客戶端/服務器應用程序，它將通過休息進行通信。 一些自定義請求數據將存儲在請求的標頭中。 發送請求的服務器和接收服務器都有SSL證書 - 標頭是加密的，還是僅加密內容？

Answer 1

SSL加密從客戶端到服務器並返回的整個通信路徑，所以是 - 標頭將被加密。

順便說一句，如果你開發網絡應用程序並關心數據安全性，那么你應該做的最少的事情是讀一本像Niels Ferguson和Bruce Schneier的“實用密碼學”這樣的書，並且可能會進一步閱讀那些更專注於Web應用程序安全性的書會很好理念。 如果我可以做一個觀察 - 並且請，我並不是說這是個人批評 - 你的問題表明基本上缺乏對非常基本的網絡安全技術的理解，這絕不是一個好兆頭。

此外，確認假定加密的數據確實是加密的，這絕不是一個壞主意。 您可以使用網絡分析儀監控線路上的流量，並注意明確發送的任何敏感信息。 我之前使用過Wireshark來做這件事 - 結果有時令人驚訝。

Answer 2

只要您在SSL隧道中進行通信，服務器和客戶端之間發送的所有內容都將被加密。 加密在發送或接收任何數據之前完成。

Answer 3

標頭和內容都是加密的。

Answer 4

您似乎認為REST是一種獨特的協議。

REST不是協議。 它是基於HTTP的應用程序的設計風格。

所以，你寫一個HTTP應用程序。 標頭是否已加密？ 是的，如果您使用HTTPS（HTTP over SSL）協議而不是普通HTTP。

雙方都有證書與您的問題沒有直接關系。 SSL證書用於身份驗證。 它們有助於檢測中間人攻擊，例如可能使用DNS緩存中毒。

Answer 5

擁有證書是不夠的，您必須配置Web服務器以加密該域或虛擬主機的連接（即使用證書）。 此外，我認為您只需要一個證書，對請求的響應仍然會被加密。

是的，HTTP標頭以及數據都是加密的。

Answer 6

SSL ..或者說HTTPS（HTTP over SSL）通過SSL發送所有HTTP內容，並且由於HTTP內容和標頭實際上是相同的，這意味着標頭也被加密。 看到GET和POST數據是通過HTTP標頭發送的，那么只有在安全地發送數據時才有意義，您不僅希望加密響應代碼或內容。

Answer 7

其他答案是正確的，當使用SSL時，標題確實與身體一起加密。 但請記住，URL（可包含查詢參數） 從不加密。 所以要小心，不要在URL查詢參數中放置任何敏感信息。

更新：正如@blowdart在下面指出的那樣，這是錯誤的。 請參閱下面的評論。

Answer 8

並非所有內容都已加密：請求查詢字符串未加密。 相信我，我見過這樣的要求：

https://mydomain.com/authenticate?user=username&password=MyStrongPasswordSentInTheClear

請不要將敏感數據作為參數放在查詢字符串中。