web中使用的安全协议有哪些

打开浏览器，地址栏里那个小锁图标亮着，全协你才敢在页面上输入银行卡号。使用这个锁背后，全协就是使用HTTPS在干活。但web安全协议远不止这一个。全协从你敲下域名到页面渲染出来，使用中间有几层协议在默默站岗，全协各有各的使用脾气，也各有各的全协漏洞。

SSL/TLS：那把锁的使用真正内核

HTTPS其实不神秘，它就是全协HTTP套了一层TLS（以前叫SSL）。TLS负责三件事：加密、使用身份验证、全协完整性校验。使用你访问一个网站，浏览器先和服务器握手，协商用哪种加密算法，服务器出示证书，浏览器验证证书是不是可信CA签发的、域名对不对、有没有过期。这套流程走完，才建立加密通道。

TLS版本迭代很关键。TLS 1.0和1.1已经被各大浏览器判了死刑，现在主流是TLS 1.2，TLS 1.3正在铺开。1.3把握手压到一次往返，还砍掉了那些不安全的加密套件，比如RC4、CBC模式的老古董。我见过一些老系统还在跑TLS 1.0，扫出来就是高危，但迁移成本高，运维只能硬扛着。这不是技术问题，是历史包袱。

HSTS：让浏览器记住“只走安全通道”

光有HTTPS不够。用户手输http://example.com，浏览器可能先发一个明文请求，服务器再301跳到https。这中间有个空窗期，中间人完全可以劫持那个明文请求。HSTS（HTTP严格传输安全）就是治这个的。服务器返回一个Strict-Transport-Security响应头，浏览器记下来，下次直接内部跳转https，不给中间人机会。

但HSTS有个坑：第一次访问还是可能被劫持。所以有了HSTS Preload名单，浏览器内置一份强制HTTPS的域名列表，第一次也不走明文。申请加入这个名单要谨慎，一旦进去，想退出来得等好几个月。我见过一个小公司误操作加了preload，后来子域名需要临时用http调试，折腾了半天。

CSP：管住页面里的“内鬼”

XSS攻击是web的老毛病。攻击者往页面里注入脚本，偷cookie、改页面、劫持表单。CSP（内容安全策略）让服务器告诉浏览器：只准加载我指定的脚本源，内联脚本一律不许跑。这招很管用，但配置起来烦人。很多老站点一堆内联onclick，上了CSP直接白屏。开发者得一点点把内联脚本抽出来，改成外部文件，再加nonce或hash。

我自己的博客就吃过亏。之前图省事，模板里塞了一堆内联script，后来想上CSP，改了两天才把那些内联全清掉。但改完之后，心里踏实多了，再也不用担心某个第三方库被投毒后直接执行恶意代码。

其他协议与机制：别忽略这些角落

除了上面三个，还有几个值得提。SRI（子资源完整性）让浏览器校验从CDN加载的脚本哈希值，CDN被黑了你也能发现。Set-Cookie里的Secure和HttpOnly属性，前者保证cookie只走HTTPS，后者挡住JavaScript读取，XSS偷不到。还有CORS，虽然它本质是放宽同源策略的机制，但配置不当就是漏洞。我见过把Access-Control-Allow-Origin设成*还带credentials的，等于门户大开。

最后说一句，协议是死的，配置是活的。再好的协议，配错了等于没配。定期扫TLS配置、检查CSP报告、看HSTS有没有漏掉子域名，这些琐事比背协议名字重要得多。安全这事，细节里全是魔鬼。