2017年，网站我帮一个朋友看他公司刚上线的都有洞官网。页面做得挺漂亮，什常但我在地址栏把 https:// 改成 http:// 再刷新，见漏浏览器没跳转，网站照样能打开。都有洞接着我在登录框里敲了一串 ' OR 1=1 --，什常回车，见漏后台数据库的网站用户表直接弹了出来。那天下午我们俩对着屏幕愣了很久。都有洞http 网站的什常问题，从来不是见漏"少了一把锁"这么简单。

最要命的网站是数据在网络上裸奔。http 协议本身不加密，都有洞你输入的什常账号密码、cookie、表单内容，全都以明文形式经过路由器、运营商、公共 WiFi 热点。同一个咖啡厅里，有人开着 Wireshark 就能抓到你的 session id，然后拿着这个 id 直接冒充你登录。这不是理论，是每天在发生的事情。Firesheep 这个 Firefox 插件早在 2010 年就演示过，点一下按钮，同网络下所有人的 Facebook 账号随便进。

传输层不设防，应用层的漏洞就更放肆了。SQL 注入排第一，没什么争议。原因也简单——很多老系统拼 SQL 字符串拼了十几年，改不动。用户输入 admin'-- 就能绕过密码验证，输入 UNION SELECT 就能把整张用户表拖出来。参数化查询能防住，但写代码的人图省事，或者用的是上古框架，就是不改。

XSS 跟 SQL 注入是一对难兄难弟。你网站上的评论区、搜索框、用户昵称，只要把用户输入原样输出到 HTML 里，攻击者就能塞 <script> 标签。存储型 XSS 最阴——恶意脚本存进数据库，每个访问页面的用户都会中招。cookie 被偷、页面被篡改、甚至键盘记录，都从这一行没转义的输出开始。

CSRF 经常被忽略，因为它不直接偷数据，而是"借你的手"干活。你登录了银行网站，cookie 还在有效期，这时候点开一个恶意页面，里面藏着一个自动提交的表单，收款方是攻击者。浏览器一看请求发往银行域名，自动带上 cookie，银行以为是本人操作。http 网站没有 SameSite cookie 保护，这种攻击成功率极高。

文件上传漏洞的破坏力被严重低估。很多网站只检查 Content-Type，改个请求头就能传 .php 文件上去。传完之后访问那个文件路径，服务器直接执行——相当于把 shell 递给了攻击者。我见过一个案例，上传目录没设执行权限，但攻击者传了个 .htaccess 把目录变成可执行，照样拿下。

目录遍历也常见。?file=../../../../etc/passwd 这种 URL，老程序员看了会心一笑。没做路径过滤的系统，攻击者能读服务器上任意文件——配置文件里的数据库密码、私钥、源码，全都能拖走。配合文件包含漏洞，还能直接执行远程代码。

还有一类问题出在"信任边界"上。http 网站没法验证你访问的到底是真服务器还是中间人。DNS 劫持、ARP 欺骗、恶意代理，都能在你和服务器之间插一脚。你以为在跟银行通信，实际上对面是攻击者的机器。https 的证书体系至少能让你发现"对面不是我以为的那个人"，http 连这个能力都没有。

说这些不是要否定 http。内网测试环境、纯静态展示页、不涉及任何用户数据的场景，http 够用。但只要页面上有登录框、有表单提交、有用户生成内容，http 就是在裸奔。Let's Encrypt 现在免费证书满天飞，配置 https 的成本已经低到可以忽略。还在用 http 跑业务系统的，要么是懒，要么是不知道自己在赌什么。

赌输的代价，往往比想象中大得多。