面试官：前端请求如何避免明文传输？谁沉默了，原来是我
如果你也在准备春招，欢迎加微信
shunwuyu。这里有几十位一心去大厂的友友可以相互鼓励，分享信息，模拟面试，共读源码，齐刷算法，手撕面经。
前言
连夜肝文，面试以来最尴尬的一次，事情是这样的，最近有开始面稍微有难度一点岗位，本文的主题出自北京某一小厂的正式岗面试题，薪资水平大概开在10k-12k。之前一直是投的比较小的公司比较简单的实习岗位，这个是无意间投出去的一个，由于是 0 年经验小白*1，结果没想到简历过筛，硬着头皮上了。
结果很惨，40分钟的面试有 80% 不会回答，像大文件上传、缓存优化、滑动 text-area标签用什么属性（话说为什么有这么冷的题）等等，有一个算一个，都没答出来。
重点来了，在两个面试官问到前端请求如何避免明文传输的时候，在我绞尽脑汁思考五秒之后，现场气氛非常凝重，这道题也成为了这次面试的最后一题。
在此提醒各位小伙伴，如果你的简历或者自我介绍中有提到网络请求，一定要注意了解一下有关数据加密处理，出现频率巨高！！！
最后，下午四点面试，六点hr就通知了我面试结果，凉凉
如何避免前端请求明文传输
要在前端发送请求时做到不明文，有以下几种方法：
- HTTPS 加密传输： 使用 HTTPS 协议发送请求，所有的数据都会在传输过程中进行加密，从而保护数据不以明文形式传输。这样即使数据被截获，黑客也无法直接获取到数据的内容。
- 数据加密处理： 在前端对敏感数据进行加密处理，然后再发送请求。可以使用一些加密算法，如 AES、RSA 等，将敏感数据进行加密后再发送到服务器。这样即使数据在传输过程中被截获，也无法直接获取其内容。
- 请求签名验证： 在发送请求之前，前端对请求参数进行签名处理，并将签名结果和请求一起发送到服务器。服务器端根据事先约定的签名算法和密钥对请求参数进行验证，确保请求的完整性和可靠性。
- Token 验证： 在用户登录时，后端会生成一个 Token 并返回给前端，前端在发送请求时需要将 Token 添加到请求头或请求参数中。后端在接收到请求后，验证 Token 的有效性，以确保请求的合法性。
- 请求头加密处理： 在发送请求时，可以将请求头中的一些关键信息进行加密处理，然后再发送到服务器。服务器端需要在接收到请求后对请求头进行解密，以获取其中的信息。
HTTPS 加密传输
HTTPS（HyperText Transfer Protocol Secure）是HTTP协议的安全版本，它通过在HTTP和TCP之间添加一层TLS/SSL加密层来实现加密通信。
HTTPS加密传输的具体细节：
- TLS/SSL握手过程： 客户端与服务器建立HTTPS连接时，首先进行TLS/SSL握手。在握手过程中，客户端和服务器会交换加密算法和密钥信息，以协商出双方都支持的加密算法和密钥，从而确保通信的安全性。
- 密钥交换： 在握手过程中，客户端会向服务器发送一个随机数，服务器使用该随机数以及自己的私钥生成一个对称密钥（即会话密钥）。该对称密钥用于加密和解密后续的通信数据。
- 证书验证： 在握手过程中，服务器会向客户端发送自己的数字证书。客户端会验证服务器的数字证书是否有效，包括检查证书的颁发机构、有效期等信息，以确认与服务器建立连接的真实性。
- 加密通信： 客户端和服务器在握手成功后，就会使用协商好的加密算法和密钥进行通信。客户端和服务器之间传输的所有数据都会被加密，包括HTTP请求和响应内容、URL、请求头等信息。
- 完整性保护： 在通信过程中，TLS/SSL还会使用消息认证码（MAC）来保护通信的完整性，防止数据在传输过程中被篡改。MAC是通过将通信内容和密钥进行哈希计算得到的，用于验证数据的完整性。
通过以上步骤，HTTPS这种加密通信方式在保护用户隐私、防止数据被窃取或篡改方面起到了重要作用。
数据加密处理
数据加密处理是指在前端对敏感数据进行加密处理，以确保数据在传输过程中的安全性。
数据加密处理的一般步骤和具体方法：
- 选择加密算法： 首先需要选择合适的加密算法，常见的包括对称加密算法（如AES）和非对称加密算法（如RSA）。对称加密算法使用相同的密钥进行加密和解密，而非对称加密算法使用公钥和私钥进行加密和解密。
- 生成密钥： 对于对称加密算法，需要生成一个密钥，用于加密和解密数据。对于非对称加密算法，需要生成一对公钥和私钥，公钥用于加密数据，私钥用于解密数据。
- 加密数据： 在前端，使用选择好的加密算法和密钥对敏感数据进行加密处理。例如，对用户的密码、个人信息等敏感数据进行加密处理，确保在数据传输过程中不被窃取或篡改。
- 传输加密数据： 加密后的数据可以作为请求的参数发送到服务器。在发送请求时，可以将加密后的数据作为请求体或请求参数发送到服务器，确保数据在传输过程中的安全性。
- 解密数据（可选）： 在服务器端接收到加密数据后，如果需要对数据进行解密处理，则需要使用相同的加密算法和密钥对数据进行解密操作。这样可以得到原始的明文数据，进一步进行业务处理。
总的来说，数据加密处理通过选择合适的加密算法、安全地管理密钥，以及正确地使用加密技术，可以有效地保护用户数据的安全性和隐私性。
请求签名验证
请求签名验证是一种验证请求完整性和身份验证的方法，通常用于确保请求在传输过程中没有被篡改，并且请求来自于合法的发送方。
请求签名验证的一般步骤：
- 签名生成： 发送请求的客户端在发送请求之前，会根据事先约定好的签名算法（如HMAC、RSA等）以及密钥对请求参数进行签名处理。签名处理的结果会作为请求的一部分发送到服务器。
- 请求发送： 客户端发送带有签名的请求到服务器。签名可以作为请求头、请求参数或请求体的一部分发送到服务器。
- 验证签名： 服务器接收到请求后，会根据事先约定好的签名算法以及密钥对请求参数进行签名验证。服务器会重新计算请求参数的签名，然后将计算得到的签名和请求中的签名进行比较。
- 比较签名： 服务器会将计算得到的签名和请求中的签名进行比较。如果两者一致，则说明请求参数没有被篡改，且请求来自于合法的发送方；否则，说明请求可能被篡改或来自于非法发送方，服务器可以拒绝该请求或采取其他适当的处理措施。
- 响应处理（可选）： 如果请求签名验证通过，服务器会处理请求，并生成相应的响应返回给客户端。如果请求签名验证不通过，服务器可以返回相应的错误信息或拒绝请求。
通过请求签名验证，可以确保请求在传输过程中的完整性和可靠性，防止数据被篡改或伪造请求。这种方法经常用于对 API 请求进行验证，保护 API 服务的安全和稳定。
Token 验证
Token 验证是一种常见的用户身份验证方式，通常用于保护 Web 应用程序的 API 端点免受未经授权的访问。
Token验证的一般步骤：
- 用户登录： 用户使用用户名和密码登录到Web应用程序。一旦成功验证用户的凭据，服务器会生成一个Token并将其返回给客户端。
- Token生成： 服务器生成一个Token，通常包括一些信息，如用户ID、角色、过期时间等，然后将Token发送给客户端（通常是作为响应的一部分）。
- Token发送： 客户端在每次向服务器发送请求时，需要将Token作为请求的一部分发送到服务器。这通常是通过HTTP请求头的Authorization字段来发送Token，格式可能类似于Bearer Token。
- Token验证： 服务器在接收到请求时，会检查请求中的Token。验证过程包括检查Token的签名是否有效、Token是否过期以及用户是否有权限执行请求的操作。
- 响应处理： 如果Token验证成功，服务器会处理请求并返回相应的数据给客户端。如果Token验证失败，服务器通常会返回401 Unauthorized或其他类似的错误代码，并要求客户端提供有效的Token。
- Token刷新（可选）： 如果Token具有过期时间，客户端可能需要定期刷新Token以保持登录状态。客户端可以通过向服务器发送刷新Token的请求来获取新的Token。
在Token验证过程中，服务器可以有效地识别和验证用户身份，以确保API端点仅允许授权用户访问，并保护敏感数据不被未经授权的访问。
请求头加密处理
请求头加密处理是指在前端将请求头中的一些关键信息进行加密处理，然后再发送请求到服务器。
请求头加密处理的一般步骤：
- 选择加密算法： 首先需要选择适合的加密算法，常见的包括对称加密算法（如AES）和非对称加密算法（如RSA）。根据安全需求和性能考虑选择合适的加密算法。
- 生成密钥： 对于对称加密算法，需要生成一个密钥，用于加密和解密请求头中的信息。对于非对称加密算法，需要生成一对公钥和私钥，公钥用于加密数据，私钥用于解密数据。
- 加密请求头： 在前端，使用选择好的加密算法和密钥对请求头中的关键信息进行加密处理。可以是请求中的某些特定参数、身份验证信息等。确保加密后的请求头信息无法直接被识别和篡改。
- 发送加密请求： 加密处理后的请求头信息作为请求的一部分发送到服务器。可以是作为请求头的一部分，也可以是作为请求体中的一部分发送到服务器。
- 解密处理（可选）： 在服务器端接收到加密请求头信息后，如果需要对请求头进行解密处理，则需要使用相同的加密算法和密钥对数据进行解密操作。这样可以得到原始的请求头信息，服务器可以进一步处理请求。
请求头加密处理这种方法可以有效地防止请求头中的敏感信息被窃取或篡改，并提高了数据传输的安全性。
请求头加密处理和数据加密处理的区别
请求头加密处理和数据加密处理在概念和步骤上非常相似，都是为了保护数据在传输过程中的安全性。
要区别在于加密的对象和处理方式：
- 加密对象：
- 请求头加密处理： 主要是对请求头中的一些关键信息进行加密处理，例如身份验证信息、授权信息等。请求头中的这些信息通常是用来授权访问或识别用户身份的关键数据。
- 数据加密处理： 主要是对请求体中的数据或响应体中的数据进行加密处理，例如用户提交的表单数据、API请求中的参数数据等。这些数据通常是需要保护隐私的用户输入数据或敏感业务数据。
- 处理方式：
- 请求头加密处理： 一般来说，请求头中的关键信息通常较少，并且不像请求体中的数据那样多样化。因此，请求头加密处理可以更加灵活，可以选择性地对请求头中的特定信息进行加密处理，以提高安全性。
- 数据加密处理： 数据加密处理通常是对请求体中的整体数据进行加密处理，以保护整体数据的安全性。例如，对表单数据进行加密处理，或对API请求参数进行加密处理，确保数据在传输过程中不被窃取或篡改。
结论：
请求头加密处理和数据加密处理都是为了保护数据在传输过程中的安全性，但针对的对象和处理方式有所不同。
请求头加密处理主要针对请求头中的关键信息进行加密，而数据加密处理主要针对请求体中的数据进行加密。
来源：juejin.cn/post/7338702103882399744
