Web安全是一个如何强调都不为过的事情,我们发现国内的众多网站都没有实现全站https,对于其他安全策略的实践更是很少,本文的目的并非讨论安全和攻击的细节,而是从策略的角度引发对安全的思考和重视. 1. 数据通道安全 http协议下的网络连接都是基于明文的,信息很有可能被泄露篡改,甚至用户都不知道通信的对方是否就是自己希望连接的服务器.因此,信息通道安全有以下两个目标: 身份认证 数据不被泄漏和篡改 幸运的是https解决了上述问题的(更多关于https的细节可以看下上一篇干货扒一扒https网…