1.png

99.9%的网站没必要用HTTPS，HTTP吞吐量是HTTPS的3 ~ 10倍，HTTPS是互联网最大谎言等

2.png

3.png

安全底层认知完全颠倒：否定HTTPS传输加密的核心作用，鼓吹前端JS自定义加密替代HTTPS，无视中间人劫持致命漏洞
性能测试场景严重失真：仅内网单文件串行测速，脱离真实公网多资源网页场景，得出“HTTPS 永远比 HTTP 慢”的极端结论
对HTTP/2、HTTP/3、多路复用、队头阻塞原理理解根本性错误，违背RFC标准与全球大厂实测数据
夹带大量阴谋论与情绪化宣泄：将浏览器安全标识、CA证书体系、免费证书续期解读为资本收割、垄断圈套
偷换概念混淆边界：把业务代码后门、客户端木马风险和传输层安全混为一谈，否定HTTPS独有的防窃听、防篡改、身份核验能力
刻意忽略免费证书完整生态：夸大商业证书高价，无视Let's Encrypt等全自动免费续期方案，刻意放大维护成本焦虑

4.png

中间人可劫持替换公钥 /JS代码：HTTP明文传输下，运营商、公共WiFi攻击者可直接篡改页面JS，替换加密算法或清空加密逻辑，用户提交密码仍为明文
JS代码完全透明可逆向、可绕过：所有前端JS都可通过浏览器开发者工具查看、修改、删除，攻击者直接移除加密函数即可裸送明文
无法校验服务器真实身份，钓鱼无法防御：HTTPS通过CA证书验证网站身份，杜绝仿站钓鱼；纯HTTP+ 前端加密无任何身份校验，黑客可复刻一模一样的页面劫持用户数据
无法保护Cookie、请求头、URL参数：前端仅加密表单密码，Cookie、会话ID、GET参数全程明文，极易造成会话劫持、长期账号被盗
重放攻击、参数篡改无天然防护：自定义加密无标准时间戳、随机nonce校验，抓一次合法请求即可无限重复发包；攻击者可篡改用户ID、金额等关键参数

传输层安全（HTTPS 独有）：解决链路窃听、数据包篡改、服务器伪造
业务代码安全：开发者写恶意后门、第三方插件漏洞，和传输协议无关，HTTP/HTTPS均无法拦截

5.png

公共WiFi中间人密码窃取：咖啡馆、机场等免费WiFi环境下，攻击者通过ARP欺骗或Bettercap等工具拦截HTTP明文流量，登录账号、密码、身份证、聊天记录可直接明文抓取，每年导致大量用户账号被盗
运营商HTTP页面劫持注入广告 / 恶意JS：国内多家宽带运营商会劫持纯HTTP站点，强制植入推广弹窗、赌博跳转脚本；HTTP无签名校验，页面可被任意篡改
SSL剥离攻击（SSL Stripping）：中间人拦截用户http://银行 请求，阻止其自动跳转到HTTPS，使用户全程明文传输账号密码，黑客可完整窃取登录凭证，早年多家金融网站因此遭受批量盗号攻击
DNS劫持仿站钓鱼：HTTP无服务器身份证书校验，黑客劫持域名解析到仿冒页面，用户无法分辨真假；HTTPS证书由可信CA签发，仿站无法获取合法证书，浏览器会直接拦截风险页面
普通局域网、校园网、酒店网络中也经常出现HTTP流量抓包读取Cookie、会话ID的案例，HTTPS通过TLS签名校验可杜绝上述篡改与窃听

浏览器标记HTTP“不安全”是W3C、IETF全球统一安全规范，目的在于警示用户明文传输风险，并非推销收费证书
Let's Encrypt作为公益CA，提供永久免费的DV证书，配套certbot自动续期脚本，零成本、无强制消费
自签名证书浏览器告警是安全机制，用于防止用户访问伪造内网站点，并非CA商业手段

HTTPS完全不符合庞氏骗局定义：庞氏骗局的核心特征是无真实产品、靠新用户资金兑付老用户收益、金融诈骗、层级拉人头收费。而HTTPS是IETF标准化的传输加密协议（TLS 1.2/1.3），具备完整RFC国际规范和真实技术价值；Let's Encrypt提供永久免费DV证书，无强制年费、无拉人头、无收益分成；收费OV/EV证书仅面向需对公核验的企业场景，个人和普通站点可以零成本全站HTTPS
HTTPS是互联网基础设施升级，绝非倒退：HTTP裸明文传输存在中间人窃听、页面篡改、钓鱼劫持三大致命缺陷，HTTPS通过TLS加密 +CA身份校验解决链路安全问题。网银、电商、登录、小程序、APP接口全部强制HTTPS；HTTP/2、HTTP/3（QUIC）仅能基于HTTPS部署；GDPR、国内个人信息保护法等隐私法规也要求用户数据传输加密
多域名 / 二级域名维护成本极低：Let's Encrypt支持泛域名证书，一张证书覆盖全部二级域名；certbot/acme.sh自带系统定时任务，90天证书全自动检测、续期、重载服务；宝塔、cPanel等面板一键申请、自动续期，多域名批量配置一行命令即可完成，不存在高额运维负担
速度损耗被极端场景放大：公网真实场景下，TLS 1.3握手仅1 ~ 2个RTT（约十几毫秒），配合ECDSA轻量化证书与CPU硬件加密加速，普通用户几乎无感；高并发站点开启HTTP/2后，综合加载速度远超纯HTTP/1.1

内网无跨运营商RTT、无丢包，TLS握手毫秒级损耗被无限放大；公网TLS 1.3握手仅10~30ms，用户几乎无感知
真实网页通常包含几十张图片、JS、CSS同步加载；HTTP/1.1浏览器仅允许6~8条TCP并发，资源排队阻塞严重
HTTPS配套HTTP/2、HTTP/3靠单连接多路复用并发加载，综合加载速度普遍优于纯HTTP
现代服务器配合ECDSA证书、硬件加密加速，加解密CPU开销可忽略

6.png

HTTP/1.1浏览器并发有硬性天花板，并非无限多线程：浏览器对同一个域名通常仅允许创建6~8条TCP连接。若页面有20张图片、JS、CSS，超出上限的资源必须排队等待。例如15个静态资源在HTTP/1.1下最多同时加载6~8个，其余排队；而HTTP/2单TCP连接多路复用，所有资源并行传输，无排队等待
“浏览器多线程”和HTTP/2“多路复用”完全不是一回事：HTTP/1.1的多连接并发需要多次TCP三次握手和慢启动，连接开销大；HTTP/2则在单条TCP连接内拆分独立二进制流（依据 RFC 9113），不同资源的帧交叉传输、互不阻塞，既消除多连接开销，也解决了应用层队头阻塞
多路复用不需要合并文件：作者误以为多路复用要把所有资源打包成单个文件，这是严重误解。HTTP/2将每个请求拆分为独立二进制帧，同一连接交错收发图片、JS、CSS，不用等待上一个资源下载完成。大量CDN、短视频、图片站实测显示，开启HTTP/2后页面加载速度可提升30%~100%

作者错误：HTTP多路复用只是口号，没有加速效果

作者错误：HTTP的TCP队头阻塞比HTTPS少

作者实测偏差：Debian+Certbot未自动开启HTTP/2，便断言HTTPS不支持HTTP/2

测试环境脱离公网：同一VPS内网调用，无真实路由、跨运营商链路、丢包和RTT延迟，无法套用到公网网站
测试逻辑回避HTTP/1.1短板：仅单次请求单个空白PHP文件，无多资源并发，自然看不到HTTP/1.1的连接数限制与队头阻塞
硬件与配置未优化：未开启CPU AES硬件加速、未配置ECDSA轻量化证书，人为放大了TLS延迟
结论过度绝对化：仅凭内网微小延迟差，断言“未来二十年 HTTPS 永远不如 HTTP”，缺乏严谨的分层场景讨论

浏览器不会在每次连接时实时向CA请求验证：服务器已把完整证书链（站点证书 + 中间 CA 证书）下发，浏览器只需用本地预置的根证书信任库校验签名链。该过程在本地完成，不依赖额外网络往返
吊销校验可通过OCSP Stapling消除：服务器可预先在TLS握手时附带OCSP响应，浏览器无需再向OCSP服务器查询；即使走OCSP，结果也有缓存，不会每次请求都产生网络开销
TLS 1.3已大幅压缩握手开销：首次握手约1个RTT，会话复用更可实现0-RTT；证书校验本身耗时极短，远不如大文件传输、数据库查询、未优化图片等常见瓶颈显著
SSL证书本身不会拖慢网站：证书只是静态文件，真正的性能变量是TLS版本、证书链大小、是否启用硬件加速、是否配置HTTP/2/HTTP/3等
HTTP不校验证书不是性能优势，而是安全缺失：正是因为没有身份校验，HTTP才无法防御中间人篡改、钓鱼仿站和SSL剥离攻击。把“少一个校验步骤”当作HTTP更快的理由，等同于把“不锁门比锁门快”当成优点

7.png

8.png

9.png

Let's Encrypt提供90天有效期免费DV证书，certbot自带systemd定时任务，全自动检测、续期、重载服务，全程无需人工干预
阿里云、腾讯云、Google Trust Services等主流厂商同样提供90天免费DV证书，控制台一键申请或通过API自动续期
多域名、泛域名免费证书完全支持，acme.sh、cert-manager等工具可一键批量申请并自动续期

10.png

证书有效期是安全设计，用于限制证书泄露后的攻击窗口期，定期轮换密钥降低风险，和商业收费无关
自签名证书仅加密传输，但缺失可信CA身份校验，无法抵御钓鱼和中间人攻击，仅适合纯内网封闭环境，不能面向公网使用
DV免费证书由可信根CA签发，浏览器默认信任，无安全告警，兼顾零成本与完整安全能力

DV证书仅校验域名所有权，OV/EV证书则严格核验企业工商资质
恶意站点证书会被CA吊销、浏览器拉黑，不存在无底线发证

大量阴谋论：将HTTPS体系绑定资本主义垄断、全球性负面计划、时政对比，脱离纯技术讨论
无关个人经历堆砌：早年建站历史、博客关停比例、年收入设想、深圳从业经历，与HTTP/HTTPS技术对比无关
极端绝对化定论：“再过 20 年 HTTPS 也不可能比 HTTP 快”“99.9% 网站不需要 HTTPS”，无严谨分层场景讨论

对正常技术现象的荒谬引申：原文建议，“如果您是一位 HTTP、极限吞吐量的深度支持者，那么如果有一个流量大的网站，可以把这些给 HTTP 标注‘不安全’的浏览器，通过 UA，都限制访问，把页面提示的风格做得工整、权威一点，并提示用户改用指定的浏览器。”这一主张在责任归属、技术可行性与商业逻辑上均不成立：
把网站安全责任转嫁给用户：HTTP被标“不安全”是因为站点选择明文传输，风险本应由站长消除；博主却要求访客换浏览器来迁就网站，相当于饭店卫生不达标却让顾客自带餐具
浏览器告警是全球安全共识：Chrome、Firefox、Safari均按W3C、IETF统一规范标记HTTP，目的是保护用户免受中间人攻击与页面篡改，并非针对HTTP站点的商业围剿
UA限制极易绕过且维护成本极高：User-Agent可任意伪造，稍微懂行的用户改个字符串就能访问；站长却要持续维护“允许浏览器白名单”，对所谓高流量站点根本不现实
真实流量会断崖式下跌：主流浏览器占据99%以上市场份额，限制它们等于主动劝退几乎所有访客，所谓“高流量网站”将名存实亡
“权威风格”本质是误导性UX：把拦截页面做得工整权威，是用视觉可信度包装不安全行为，等于对自己的访客进行社会工程误导
换浏览器无法解决HTTP的根本缺陷：即便用户换了浏览器，HTTP明文仍会被运营商注入广告、被公共WiFi窃取Cookie、被SSL剥离攻击劫持，换浏览器换不来安全
正确做法恰恰相反：不是让用户换浏览器，而是网站升级到HTTPS（TLS 1.3 + 免费证书 + HTTP/2/HTTP/3），既保留性能又满足安全底线
滑坡谬误与错误类比：原文又以“大部分博主在 5～10 年之内都会关站，比例大约 90%”为由，声称“博客没有必要安装 HTTPS”，这么说吧“反正以后都会死，做这么多事干嘛？所以活着是没有意义的”。这种逻辑把“部分博客生命周期短”与“安全投入无意义”强行挂钩，混淆了时间维度与安全维度：HTTPS保护的是当前在线期间的用户数据，与网站未来是否关闭无关。按此逻辑，任何安全措施、备份、更新都可因“终将结束”而取消，显然荒谬
2026测速篇额外错误：宣称GZIP是唯一网页加速手段，忽略CDN、图片格式优化、缓存、预加载、HTTP/3等主流方案

纯内网封闭业务，无公网暴露、无外网用户访问；
无登录、账号、隐私、支付、Cookie等任何敏感数据传输；
仅单接口极简文本请求，不存在多图片、JS、CSS资源页面；
不存在公共WiFi、跨运营商链路访问，无中间人劫持风险

11.png

全站强制HTTPS，配置HTTP 301跳转、HSTS头部
免费证书：Let's Encrypt+certbot自动续期，泛域名证书覆盖多二级域名
传输层使用TLS 1.2/1.3，禁用老旧不安全加密套件
应用层纵深防御：前端加密仅做辅助，后端密码使用bcrypt/Argon2哈希存储，增加签名、时间戳防重放
配置CSP、XSS、CSRF等配套安全头，杜绝页面注入劫持

服务器开启HTTP/2、HTTP/3（QUIC），利用多路复用降低并发阻塞
全站启用Gzip/Brotli文本压缩，静态资源CDN分发，图片使用WebP/AVIF、懒加载
使用ECDSA轻量化证书，利用硬件CPU加密加速，降低TLS握手开销
配置合理缓存策略，减少重复请求

安全相关结论全部不可采信：基础传输安全概念存在颠覆性错误，极易误导新手站长忽略HTTP明文劫持、钓鱼、SSL剥离等重大风险
性能数据仅内网单文件场景有微弱参考，不能套用到公网真实网站；其测试未开启硬件加速、未使用ECDSA证书、未模拟多资源并发，结论被过度放大
HTTP/2、HTTP/3、多路复用、证书体系相关解读完全错误：作者混淆浏览器线程与TCP连接调度模型，误读RFC 9113多路复用原理，学习协议应优先查阅MDN、IETF RFC、阿里云 / 腾讯云官方技术文档
商业阴谋论完全不成立：HTTPS是国际标准安全基础设施，Let's Encrypt提供零成本免费证书，不存在庞氏骗局、割韭菜或资本绑架
全文大量情绪化偏见、阴谋论、无关私货，不属于中立客观技术评测，不适合作为建站、Web安全学习资料
唯一可提取的价值是其自制PHP测速工具代码，可用于内网封闭环境单接口耗时对比，其余观点均应摒弃

“CCTV、php.net 都还只支持 HTTP”是过时权威背书：php.net与国内主流站点早已强制HTTPS，用个别未切完的子域论证HTTPS没必要，是以偏概全
“HTTP 也可以模拟 HTTPS 的 hash 过程”混淆加密与协议：TLS包含密钥交换、身份认证、完整性校验、前向保密，不是简单“hash 后传输”。HTTP自嗨式hash没有身份认证，无法防中间人替换
“自签名证书与第三方证书安全级别一样”错误：自签名证书缺失可信CA身份校验，中间人可自签同名证书拦截，用户无法分辨，只适合纯内网封闭环境

“HTTPS 不支持 Cache 页面缓存”错误：HTTPS完全支持Cache-Control、ETag、Last-Modified、Expires等缓存机制，CDN与浏览器缓存策略在HTTPS下同样生效
“ping > 150 ms 时 HTTPS 延迟 3~5 秒”错误归因：延迟主因是跨境链路晚高峰拥堵、丢包、路由抖动，而非TLS。优化应选CN2/精品线路、TLS 1.3、ECDSA证书，而不是关闭HTTPS
“HTTP/2 多路复用比 HTTP 慢”错误：作者内网单文件、未正确开启HTTP/2的测试无法代表公网真实多资源页面；HTTP/2单连接多路复用 + 头部压缩在公网实测中普遍优于HTTP/1.1

“万能后门 HTTPS 无法拦截，所以 HTTPS 没用”混淆应用层与传输层：代码后门属于应用安全，需代码审计、权限隔离、WAF等手段；HTTPS解决的是链路窃听、篡改、仿站。不能因为防盗门挡不住室内纵火就说防盗门无用
“POST 数据只有终点服务器能解析”错误：HTTP POST请求体在明文传输下，任何经过的路由、网关、WiFi AP、运营商设备均可直接读取
“HTTP 尚未出现大规模安全问题”是幸存者偏差：运营商劫持广告、公共WiFi窃取账号、SSL剥离攻击、DNS劫持仿站都是真实大规模案例
“80 端口历史久远，没有不安全的大规模新闻”错误：安全来自协议而非端口号，80端口跑HTTP就是明文

“规则不公开就永远无法破解”是安全依赖混淆：HTTP明文下攻击者可篡改/删除JS、替换公钥、用开发者工具绕过加密函数、实施重放攻击。未公开审计的自定义算法反而更易藏漏洞
“明文密码框放在 form 外，JS 加密后提交，安全级别和 HTTPS 一样”错误：中间人可劫持替换整个页面，让明文框直接提交到攻击者服务器，或删除加密逻辑。没有CA身份认证，前端加密形同虚设

“SSL 是保护费，交了钱就变可信网站”错误：DV证书免费（Let's Encrypt、阿里云、腾讯云、Google Trust Services 均提供 90 天免费证书）；OV/EV收费是因为需核验企业资质。证书可信来自根CA预装与数字签名，不是“交钱即安全”
“审核不太离谱都能通过”片面：DV只验证域名所有权所以快；OV/EV需提交企业证照、电话回访。CA对恶意站点会吊销证书，浏览器会拉黑

12.png

“给 HTTP 标不安全损害名誉权”错误：浏览器标注是W3C/IETF安全规范，描述传输状态而非人身攻击，HTTP明文风险客观存在
“2014 年以前 99.5% 国外网站都是 HTTP” irrelevant：用历史状态推导当前不需要HTTPS，是以过去否定现在；2014年后大量泄露与劫持事件正是推动HTTPS普及的原因。
总不能说以前没有电信诈骗犯不会坐劳房，现在法律会坐劳房说“以前电信诈骗犯就不要坐劳房啊！”应该是拥抱未来而不是使用过去的方式，时代在变迁相应的也会有新的安全问题
“国外 HTTPS 网站晚上慢 5~10 倍”再次错误归因：同国访问HTTPS无明显下降，说明TLS不是瓶颈，跨境带宽才是