接口测试之深入理解HTTPS！，【微信小程序】

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新软件测试全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上软件测试知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip1024b （备注软件测试）

正文

SSL/TLS的安全机制原理

既然SSL可以保障安全，那么它到底是如何保障的呢？其实SSL安全机制是通过对HTTP协议内容进行加密来实现的。而加密方式一般有2种类型：对称加密和非对称加密。

对称加密：加密和解密时使用的密匙(key)是一样的。密匙安全性不高，加密速度快

非对称加密：加密时使用公匙加密，解密时使用私匙解密。密匙安全性高，加密速度相对慢

而SSL中两者都有使用，且分别结合了它们的优缺点。在每次通信前先使用非对称加密来确定本次通信后续使用的对称加密的密匙，之后所有的通信都是使用临时生成的密匙来进行对称加密后传输。

但是从安全角度考虑这还不够，因为密匙还是有可能被人窃取了，然后篡改内容。所以就引入了证书机制，相当于给加密内容在加一个盖章。接着问题就变成了有人伪造证书怎么办？再然后就有了第三方认证机构，专门来发证书的，只有这些机构发的证书才可以信任。

于是现在访问HTTPS网站的时候就可能有两种情况，一种是使用认证的证书、一种是使用未认证的证书。当我们访问的网站使用未认证的证书时，浏览器往往就会有提醒–该网站不可信任。如果要一意孤行，就需要自己手动点继续。（当然你还可以给浏览器设置忽略安全认证）

证书发放与安装

全世界范围内可以发放安全证书的第三方机构就2-3个，而全世界有那么多的公司或网站需要申请证书。如何知道某个证书是否可信任呢？

其实安全证书有分根证书、子证书、子子证书，不同等级的信任范围。通常根证书是由最上面的第三方机构颁发给自己的，根证书下面的一级子证书通常是颁发给其下的代理公司的，而如果你的网站是从代理公司申请的，那么你证书将会是一个二级子证书。

而在认证证书的时候， 操作系统或者程序会去检查该证书此前是否已经被信任过，或者该证书的上级证书（父级、父父级等等）是否被信任过。只要有一个等级的证书被信任过，则认为该证书是可信任的。

具体证书是否可信任是根据系统或者程序是否已安装并信任了该证书。通常操作系统都会预装顶级证书机构的根证书，所以只要你访问的网站证书是从这几个顶级第三方机构或其代理申请的，那么就会被直接信任无需你去手动下载和安装。

HTTPS代理

了解了HTTPS和证书的基本知识之后，再来看看HTTPS的代理是如何实现的。与HTTP代理相比，HTTPS代理会多一个证书管理的功能，因为它要给浏览器端下发证书，才能模拟正常的HTTPS连接。所以HTTPS代理在进行内容转发之前，还需要对内容进行解码和加密的转换。具体图解如下：

这就是为什么使用Charles、Fiddler之类的软件代理HTTPS的时候，需要先安装一个它们的证书（尤其是移动端）。因为它们的证书是没有认证过的，需要手动安装并信任，之后才可以正常的代理。

最后感谢每一个认真阅读我文章的人，看着粉丝一路的上涨和关注，礼尚往来总是要有的，虽然不是什么很值钱的东西，如果你用得到的话可以直接拿走！

软件测试面试文档

我们学习必然是为了找到高薪的工作，下面这些面试题是来自阿里、腾讯、字节等一线互联网大厂最新的面试资料，并且有字节大佬给出了权威的解答，刷完这一套面试资料相信大家都能找到满意的工作。

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加V获取：vip1024b （备注软件测试）

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！