https 对治疗劫持的效果有多大?

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3233 天前的主题，其中的信息可能已经有所发展或是发生改变。

商业项目

部份地区被全站劫持
部份地区广告被全部劫持.

如果上 https,疗效好吗,另外,图片比较多,对速度的影响如何

劫持

部份

疗效

地区

31 条回复 • 2016-01-17 10:39:07 +08:00

v1024

2016-01-16 00:26:50 +08:00 via iPhone

疗效 100%，前提是全站 ssl 。

wwqgtxx

2016-01-16 01:24:23 +08:00 via Android

疗效很好，不过对性能影响很大，特别是在电脑端，淘宝和天猫的打开速度简直不能忍，移动端就好的很(都是全站 https 为啥差距那么大)

Andy1999

2016-01-16 01:29:53 +08:00 via iPhone

除非中间人不然是 100%

GeekTest

2016-01-16 01:34:33 +08:00

@Andy1999 劫持了 301 就不好说了除非一开始就访问 HTTPS

TheCure

2016-01-16 01:52:16 +08:00 via iPhone

效果蛮好的
不过根据国内某大厂上 https 的经验来看，即使开启了 hsts,也不能阻止流氓运营商一开始就劫持跳转

Andy1999

2016-01-16 01:53:47 +08:00 via iPhone

@GeekTest Pre HSTS

mornlight

2016-01-16 01:59:11 +08:00

你要这么想，如果条件允许，比不上好。

abcbit

2016-01-16 02:12:45 +08:00 via Android

你們太年輕了，難道忘了運營商的 dns 劫持？

davidyin

2016-01-16 07:39:02 +08:00

上比不上好，效果看体质

jasontse

2016-01-16 08:00:02 +08:00 via Android

@abcbit DNS 劫持会报告证书错误，否则怎么防中间人

cmxz

2016-01-16 08:40:04 +08:00

如果有 DNS 劫持会导致用户无法正常浏览你的网站

yeyeye

2016-01-16 08:40:33 +08:00

你们有 HTTPS 并开启了强制跳转的的我建议你们在页面上放个 js 检测一下是否真的每个都是 https 方式打开的如果不是真的有可能劫持成为 http （就是在 http 跳转 https 的时候劫持！）

imlonghao

2016-01-16 08:54:50 +08:00 via Android

@yeyeye
建议加入 HSTS Preload List
既然运营商让你强制走 http 协议，就能改你的这段 js 代码
拿我的博客为例子，我的域名已经加入了这个列表，因此，对于新版本的浏览器，浏览器会强制使用 https ，就算我不开 80 端口也是如此
唯一的缺陷是，旧版本的浏览器不支持......

yeyeye

2016-01-16 09:08:43 +08:00

@imlonghao 运营商没那么傻还单独为我一个网站去设置规则（只是 js 判断一下当前页面协议如果竟然是 http 那就 post 一个回去 POST 请求一般是不缓存的否则登录无法实现）