不加密的http传输协议

2015年，不加我帮朋友调试一个智能灯泡。传输他家的协议WiFi密码是“password123”，灯泡通过HTTP协议把状态上报到云端。不加我随手抓了个包，传输明文里躺着的协议不只是灯泡开关状态，还有他路由器的不加管理员密码——因为那台路由器管理页面也是HTTP的。这破事让我记到现在：HTTP不加密，传输等于把家门钥匙挂在门垫底下。协议

HTTP协议从1991年诞生那天起就没打算保密。不加它设计初衷是传输传超文本，给科学家看论文用的协议。那时候互联网是不加学术圈后花园，没人想到后来会有人往里面传银行卡号、传输病历、协议聊天记录。三十年过去，HTTP还在跑，但世界早不是那个世界了。现在你家摄像头、门锁、体重秤，但凡走HTTP的，全在裸奔。

抓包工具Wireshark一开，HTTP流量就像没穿衣服的人走在透明走廊里。你输入的用户名、密码、Cookie、甚至GPS坐标，全是一行行可读的ASCII字符。我见过最离谱的案例：某智能门锁厂商把用户开锁密码用HTTP明文传给服务器，黑客在公共WiFi下蹲了半小时，收集了十几个家庭的进门密码。这哪是智能家居，这是给小偷递钥匙。

有人会说：“我平时上网不都看到小锁头图标吗？”那是HTTPS，多了个“S”，本质是HTTP外面套了层TLS加密。但很多老旧设备、廉价IoT硬件、企业内部系统，还在用纯HTTP。我去年检查过一家连锁奶茶店的会员系统，点单小程序走HTTPS，后台管理后台却走HTTP——店长用同一个密码登录，抓包直接能看到总部的数据库账号密码。

更讽刺的是，有些开发者觉得“内网传输不需要加密”。内网就安全吗？公司前台那个WiFi，访客和财务部在同一个网段。ARP欺骗一下，HTTP流量照样被截获。2019年某大厂内部系统泄露事件，起因就是运维图省事，用HTTP传输数据库备份文件。内网不等于保险箱，顶多算个带锁的抽屉，锁还是塑料的。

用HTTP省钱吗？省的是证书钱和配置功夫，赔上的可能是整个系统的信任根基。我见过最抠门的案例：某小贷公司为了省每年几百块的SSL证书费，坚持用HTTP，结果用户借款记录被中间人攻击截获，第二天就有人打电话冒充客服骗“解冻费”。这账怎么算都亏。

当然，纯HTTP也不是完全没救。你可以在应用层自己加密，比如把敏感字段做AES再传，但这就像穿着雨衣洗澡——多此一举。更靠谱的是用VPN兜底，但VPN本身也会被攻击。说到底，HTTP这个协议老了，老到像一封不封口的信，你往里塞什么，路上的人都看得见。除非你传输的内容本身一文不值，比如公开的天气数据、股票行情，否则别用HTTP。

写代码的人有个错觉：觉得攻击者离自己很远。实际上，不加密的HTTP就像在广场上喊银行卡密码，区别只是谁在听。我认识一个白帽子，专门在公共WiFi下挂监听脚本，每天都能抓到几十条HTTP明文密码，其中不乏银行、邮箱的登录凭证。他说这活儿毫无技术含量，纯粹是“捡漏”。

别再信“本地网络很安全”那套鬼话了。你家的路由器、光猫、智能音箱，哪个不是联网的？它们之间用HTTP交流，等于在你家客厅开了个广播电台。哪天你隔壁住了个懂网络的大学生，你的摄像头画面就能变成他的屏幕保护程序。这不是科幻片，是现实。