每天打开网页、刷视频、查资料，你可能没意识到，背后都靠一个叫HTTP的协议在跑腿。它就像快递员，把你要的数据从服务器送到手机或电脑上。可这个“快递员”本身并不加密，信息裸奔在网络中，容易被截获。
HTTP 是怎么工作的？
当你在浏览器输入 http://example.com，系统就会向目标服务器发起请求。整个过程分几步：建立连接、发送请求、服务器响应、传输数据、断开连接。这是一套明文通信规则，所有内容都可以被中间人看到。
比如你在咖啡店连公共Wi-Fi，黑客只要在同一网络下，用抓包工具就能看到你访问了哪些页面，甚至获取登录参数。虽然你看不到别人账号密码，但对方可能看到的是完整的请求内容。
请求和响应长什么样？
一次典型的HTTP请求如下：
GET /index.html HTTP/1.1\r\nHost: example.com\r\nUser-Agent: Mozilla/5.0\r\nAccept: text/html\r\n\r\n服务器收到后返回：
HTTP/1.1 200 OK\r\nContent-Type: text/html\r\nContent-Length: 137\r\n\r\n<html>\n<head><title>Example</title></head>\n<body>\n<h1>Hello World</h1>\n</body>\n</html>这些文本全是明文，没有加密处理。URL路径、请求头、返回内容，一览无余。
为什么说 HTTP 不安全？
想象你寄信从来不封口，邮递员能看，路人也能翻。HTTP就是这种“明信片式”通信。攻击者可以在网络节点上监听流量，篡改响应内容，甚至伪造页面诱导输入账号密码。
常见的中间人攻击（MITM）就利用这一点。你访问的“银行登录页”可能是假的，而你提交的信息直接进了黑客服务器。因为HTTP无法验证对方身份，也无法保证数据完整性。
HTTPS 是怎么解决这些问题的？
HTTPS其实就是在HTTP和TCP之间加了一层加密通道——TLS（或SSL）。所有数据在传输前都会被加密，即使被截获也看不懂。同时通过数字证书验证服务器身份，防止冒充。
现在主流浏览器对HTTP站点都会标上“不安全”，尤其是涉及登录或支付的页面。很多网站已全面转向HTTPS，强制跳转成标配。
开发者该注意什么？
如果你维护一个网站，别再用HTTP传敏感信息。哪怕只是表单提交，也可能泄露用户行为数据。启用HTTPS不只是为了绿色锁头，更是基本的安全底线。
配置证书并不复杂，Let's Encrypt提供免费方案，Nginx、Apache都支持一键部署。同时设置HSTS策略，让浏览器强制走加密连接，避免降级攻击。
普通用户也得留个心眼。看到网址栏没有锁头图标，尤其在输密码前，多问一句：这页面真的安全吗？