防火墙检查URL时能否查看其中的查询字符串？

这个问题问得很实际，我来给你拆解清楚——大部分现代防火墙是可以看到完整URL（包括查询字符串）的，具体要看防火墙的类型和配置情况：

• 基础包过滤防火墙：这类防火墙只盯着IP地址、端口和协议（比如TCP/UDP）干活，不会去解析HTTP请求的具体内容。所以它只能知道你连到了www.example.com的80/443端口，看不到/muster.html?Name=Max+Mustermann&Ort=Musterstadt&PLZ=1234这部分内容。不过现在这类防火墙已经比较基础，很多场景下会搭配其他更智能的设备一起用。
• 状态检测防火墙：比包过滤的能力强一些，会跟踪整个连接的状态，不少这类防火墙也能解析HTTP请求头，这时候就能看到完整的URL路径和后面的查询字符串了。
• 应用层防火墙（WAF）：这是专门针对Web应用的防火墙，会深度拆解HTTP/HTTPS请求，别说查询字符串了，请求体、Cookie这些内容它都能看到，还能根据查询字符串里的内容设置规则来拦截或者放行请求。

再说说你担心的元数据被拦截的问题：

• 如果是用HTTP明文传输，只要是能解析HTTP的防火墙，都能轻松读出查询字符串里的内容；
• 如果是HTTPS加密传输，普通的包过滤/状态检测防火墙看不到明文的URL和查询字符串（因为整个请求内容都被加密了），但如果防火墙配置了SSL/TLS解密（也就是常见的中间人模式），那它就能解密请求，看到完整的URL内容，包括你传的那些元数据。

最后给你个明确的结论：

• 要是用HTTPS且防火墙没开SSL解密，查询字符串里的元数据不会被防火墙读取；
• 要是用HTTP，或者防火墙开了SSL解密，那防火墙不仅能看到这些元数据，还可能根据内容拦截请求。

内容的提问来源于stack exchange，提问作者SimmensK