淘宝的 rest API 为什么还继续用 http，不用 https？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 2423 天前的主题，其中的信息可能已经有所发展或是发生改变。

像这样的 API 都是 sdk 走 http，为什么还不起用 https ？
http://gw.api.taobao.com/router/rest

20 条回复 • 2018-03-25 06:25:53 +08:00

wongnet

2018-03-24 08:43:28 +08:00 via Android

http 够用了为什么一定要用 https,API 本身自带 token,https 无非防止抓包截获,而一般人都不会去主动截获这种东西.

fzleee

2018-03-24 08:59:34 +08:00 via iPhone

@wongnet 这个回复好没有道理，https 一般有两重保障，一个是保证数据的隐秘，不被第三方读取，一个是保证数据的完整不被篡改，二者都很重要。

honeycomb

2018-03-24 09:08:52 +08:00 via Android

@wongnet 淘宝全站 HTTPS 了那么供第三方用的 API 没有道理不用 TLS

moult

2018-03-24 09:12:54 +08:00 via iPhone

@wongnet https 既保证了请求的防篡改，也保证了响应内容的防篡改。app key 只能保证请求的防篡改，响应内容上，完全可以被劫持篡改。

你要想想看，支付宝的接口，非但 https 通信，而且请求和响应都需要公私钥验签，不可能多此一举的。

wongnet

2018-03-24 09:17:28 +08:00 via Android

@fzleee 所以呢？所以你就会唯加密论,就算不用 https 协议,在涉及到非核心业务的时候就必须要使用 https ？这几年有免费证书的方案出来用 https 的人多了起来,你是怕重传还是怕篡改？ api 设计成幂等性,防篡改可以使用混合时间戳的加密随机字符串验证身份,还怕加密算法是 js 的被解密了？那怎么不说 https 伪造证书照样可以截获明文.
如果问我为什么不设计成 https,我就告诉你 http 简单,不想用 https 你管的着吗？

murmur

2018-03-24 09:29:42 +08:00

淘宝就算不用 https 他的接口也够你爽一套的
这么大规模的应用我猜真的是有性能体验问题

TestSmirk

2018-03-24 09:52:50 +08:00 via Android

做兼容吧，还有少数设备不支持 ssl 证书的呢

majinjing3

2018-03-24 09:54:25 +08:00 via Android

@wongnet https 里内嵌 http 资源，基本上 https 就废了，和 http 一样，懂了不，不是核心不核心的问题，如果还不懂，请自行谷歌

Discuss

2018-03-24 09:56:24 +08:00

宽带运营商大都国企背景，一般也就劫持一些新闻网站弹广告赚钱，有能力劫持 /篡改 API 请求的，但这犯法又无利，没动机去干；鸡贼小公司入侵宽带就不容易页犯法，有动机没能力也没法干。就像 http ://www.gov.cn/ 一直 http，谁会去劫持呢，所以综合看起来，http 的效率确实比 https 高，就继续用了