CURLOPT_USERPWD數據在通過ssl傳輸時是安全的嗎？

Question

我建立一個通過https服務的服務。

我想知道在捲曲選項CURLOPT_USERPWD中傳輸的密碼（或任何特定的密鑰）是否安全，當數據是「通過電線」？

Answer 1

通過HTTPS發送的所有數據都被加密。這意味着它是非常難服務器和客戶之間的任何人都難以（但不是不可能）查看請求的原始數據。

如果你想完全理解使用HTTP基本認證的潛在影響，你應該完全理解how it works。

由於HTTP是一種純文本協議，因此它非常不安全。 HTTPS僅僅是使用encrypted socket的HTTP--這意味着請求/響應格式本身完全不變。如果您可以查看純文本版本的請求，您可以隨時隨地收集您喜歡的任何信息。但是，使用SSL/TLS使查看純文本版本非常困難。

HTTP基本身份驗證本質上容易受到中間人攻擊，並且應該使用從未使用來通過未加密的連接，但使用HTTPS會使其相當安全。唯一的考慮是服務器能夠以純文本格式查看密碼 - 如果您不希望發生這種情況，應該使用Digest auth，HTTPS或其他方式。

Answer 2

是的，密碼將不可見，因爲它是通過網絡加密發送的，但很可能（不完全確定），在目標網站上運行的腳本（您的案例中的服務）將是能夠看到你的密碼。