非浏览器环境向HTTPS Express服务发POST请求是否执行TLS握手？

TLS握手是HTTPS协议的标准底层流程，只要请求目标为https://开头的地址，所有符合标准规范的HTTP客户端都会自动执行TLS握手，和客户端类型、请求方法无关，逻辑与浏览器访问HTTPS站点的TLS握手完全一致。

以下是你提到的三个场景的具体说明：

• Python脚本调用Requests模块发送POST请求
  只要请求URL为https://开头，Requests库默认会自动执行TLS握手，同时会校验服务端SSL证书的有效性，证书无效时会直接抛出错误终止请求；仅当你手动添加verify=False参数时才会跳过证书校验（敏感场景下强烈禁止该操作）。
• HTML网页发送携带用户名密码的POST请求
  如果网页在浏览器环境打开，无论你使用原生fetch/XMLHttpRequest还是第三方请求库，只要目标地址为https://开头，浏览器会自动完成完整TLS握手，和普通访问HTTPS站点的逻辑完全一致；如果是Node.js服务端主动向该接口发请求，使用标准HTTP客户端（如node-fetch、axios、原生https模块）请求HTTPS地址时同样会自动执行TLS握手。
• MIT App Inventor 2开发的应用调用内置POST能力发请求
  MIT App Inventor 2的Web组件内置请求逻辑符合HTTP标准规范，只要填写的请求URL为https://开头，会自动执行TLS握手并校验服务端证书有效性，证书无效时请求会直接失败。

敏感数据传输安全建议 #

针对你的应用登录、敏感信息传输需求，额外给出以下建议：

• 所有接口强制使用HTTPS协议，绝对禁止用HTTP传输密钥、密码等敏感数据
• 不要在任何客户端代码中手动关闭SSL证书校验，避免中间人攻击风险
• 可额外对敏感请求 payload 做一层非对称加密后再传输，即使极端场景下TLS层被绕过，数据仍然处于加密状态

内容的提问来源于stack exchange，提问作者Neev Penkar