请问 cdn 回源的时候选择 http 类型是不是不安全？

[felixin]

如果是 http 回源，那么 cdn 节点到服务器之间的这一段通信就有可能被中间人截获，拿到 api 调用的授权信息。

但是如果回源也是 https，就会有两次 https 的加解密，浏览器到 CDN 节点一次，cdn 节点到服务器一次。

我的理解对吗？

[fiveelementgid]

理解正确
你可以去 看看 cloudflare 的说明文档
里面会特别说明(strict)等级的内容，就是这个

[ihipop]

关于截获的想法是对的。还有回源劫持的。
关于加密，一般如果没有命中缓存那么至少 2 次。
有些 CDN 节点只是边缘节点，他们还有上层节点。
和上层节点通讯链路是否加密还是未知。良心一点的 CDN 服务商内部是加密回上级

[xmumiffy]

回源挟持出了好几次问题了

[also24]

理解正确，这种回源劫持的情况看到过几次了

[miyuki]

目测新浪的一个 js 被替换了
https://v2ex.com/t/448348

如果你也在用 jsdelivr，那么请小心，他的节点会投毒。
https://v2ex.com/t/403110#reply11

Javascript 高手帮我看看百度这两段注入代码是想做什么？
https://v2ex.com/t/384241#reply40

[0ZXYDDu796nVCFxq]

非常不安全
发生过回源被劫持影响到所有

[felixin]

那看来是必须要开启 https 回源了