http 加密的正确方法

[senx0000]

如果不上 https 的话，直接生成一对密钥，前端应用预置对应的公钥来加密，后端直接用私钥来解密，这样一来是不是中间人就无法知道请求的具体内容了？
除了性能问题，暂时没想到有啥其他问题，不知道大家有没有建议？
不考虑伪造或者篡改请求的情况，需求只是实现中间人无法得知请求内容。

[Daiwf]

国密证书用不起来的 ，客户都得用国产浏览器才行。只能单位内部用用。

[tuwulin365]

@gaifanking 长度不是问题，分段加密就是了。主要是非对称加密速度太慢。

[Huelse]

直接定制客户端吧，大赚一笔

[tool2d]

@senx0000 "核心缺陷就是这个，公钥是可以被替换的"

验证一下公钥的签发机构就可以了，你稍微逻辑缜密一点，根本不可能被替换。

[IvanLi127]

我的观点是，正确方法就是要么改用国密算法的 HTTPS ，要么放弃 HTTPS ，在应用层里套国密。 套娃可能影响加密效果。

[gaifanking]

@tuwulin365 对头，而且 RSA 加密要加 padding 等导致数据变大，核心就是 RSA 不适合，而不是 RSA 直接加密不安全。

[kokutou]

https://zhuanlan.zhihu.com/p/144272882

看看各种国内的云服务商的文章呗。。。他们肯定遇到过这种需求。
还有创宇盾。。

国产的东西要找国产的服务商。。。

[ssse1]

真的很需要加密的情形自己造轮子出 bug 了谁负责。这些东西不好写的，发展了那么多年了才成这样。