如何开发可防止代理捕获凭证、支付及敏感数据的应用？

这是正常现象吗？ #

分两种场景判断：

• 如果目标网站采用HTTP协议，抓包能读取明文登录凭证是完全正常的，但这属于严重安全漏洞，当前主流正规网站（包括Airbnb）绝不会使用这种配置。
• 若你是在HTTPS协议下抓包看到明文，本质是你给测试设备安装了Burp Suite的根证书，让系统信任了这个代理工具，Burp作为中间人完成了HTTPS流量的解密——这是你主动信任代理后的结果，并非网站本身的安全问题。正常用户设备不会信任恶意代理证书，真实场景中攻击者无法轻易解密HTTPS流量获取明文凭证。

标准解决方案 #

开发者有成熟机制防范这类敏感数据泄露：

• 强制全站HTTPS：所有请求（含登录接口）均使用HTTPS协议，通过TLS/SSL加密传输链路，确保数据在客户端与服务器间无法被中间人直接读取。同时配置HSTS（HTTP严格传输安全），强制浏览器仅通过HTTPS访问网站，避免被攻击者诱导降级到HTTP。
• 证书安全管控：使用受信任CA机构颁发的SSL证书，避免自签证书（内部测试场景除外）。同时通过证书钉扎（Certificate Pinning），让客户端仅信任预先指定的服务器证书，防止恶意代理伪造证书解密流量（需做好证书更新预案，避免过期导致服务不可用）。
• 增强凭证安全：
  • 前端不存储明文密码，服务器端使用加盐的哈希算法（如bcrypt、Argon2）存储用户密码，即便数据库泄露也不会直接暴露明文密码。
  • 启用多因素认证（MFA），即便凭证被窃取，攻击者也无法仅凭账号密码完成登录。
  • 采用OAuth2等第三方登录方案，减少用户输入密码的场景，降低凭证泄露风险。

需注意：若攻击者已在用户设备或网络中植入恶意代理并获得系统信任（如诱导用户安装恶意证书），这属于客户端被攻陷的场景，单纯依赖网站层面的防护很难完全避免，需用户自身做好设备和网络安全防护（如不安装未知来源证书、使用安全网络环境）。

内容的提问来源于stack exchange，提问作者gal007