最近开始关注安全问题。 同时也在关注由于关注了安全导致的性能问题。
第一件事是 微信收藏。 详细的内容点击: 微信公众平台的安全问题。 另外再原文的基础上补充几点:微信公众平台最不安全的地方就是它的内容是通过http方式传输的。只要能抓到包,内容都很容易知道。关键问题就是非常不容易抓到包。 所以微信平台才不使用Https传输。而不使用https传输的第二个原因是因为 https ssl密钥交换协议很耗时。第三个原因,强求第三方内容供应商提供https支持的话,第三方供应商需要申请相应的域名证书,然后还需要配置,非常繁琐。所以微信客户端传输到微信服务器走的是https, 而微信服务器到第三方服务器走的是http.
第二件事是 https 传输时需要注意 连接重用和密钥重用。 http connection能开重用就重用吧。另外同时找到了windows 库中 connection虽然重用,但是new request仍然不断的和server交换ssl密钥的问题。详见 这篇blog(winInet 对于https保持keep alive需要注意的地方) 。大意就是 HttpOpenRequest 这个函数中需要去掉INTERNET_FLAG_IGNORE_CERT_CN_INVALID这个 Flag, 然后需要添加OnWinInetError代码。如果证书出错(ERROR_INTERNET_INVALID_CA),那么就重新试一次。这样就可以保证 INTERNET_FLAG_KEEP_CONNECTION。
第三件事是 https的请求中夹杂着http请求的问题。这个问题在FireFox 23.0.1中出现。其他各个浏览器都是成功的。详细原因在:火狐混合内容拦截。也就是说如果是https的页面,里面的任何请求都需要是Https的。否则请求是不能发送出去的。而在chrome下,显示的就是此网页包含不安全的内容。该问题在IE10下面,会在最下面弹出一个小tab,问你是否继续。