混合Cordova Android App通过HTTPS/SSL传输未加密密码的Ajax请求安全性问题

嘿，这个问题问到点子上了，我来给你把逻辑理清楚：

你不用太担心请求里的未加密密码在传输过程中被窃取，原因很简单：

• HTTPS的核心就是通过SSL/TLS协议对整个HTTP请求链路进行端到端加密，包括URL、请求头、请求体里的所有内容。也就是说，你在Ajax请求里直接传明文密码，这个数据从你的Cordova应用发出后，就会被加密成乱码，只有目标服务器能解密还原出明文。中间的任何节点（比如运营商、公共WiFi路由器）都只能看到加密后的数据流，根本拿不到真实的密码。

不过在Cordova Android应用的场景下，有几个关键细节必须注意，不然可能会打破这种安全性：

• 绝对不能禁用SSL证书校验：有些开发者为了测试方便，会在Cordova的网络配置里关掉证书验证，这等于给中间人攻击开了后门。上线前一定要确保应用会自动验证服务器证书的合法性，拒绝不受信任的证书。
• 使用正规CA颁发的证书：生产环境别用自签名证书，一定要用受Android系统信任的权威CA（比如Let's Encrypt、DigiCert等）颁发的证书，不然应用可能会拒绝连接，也容易被攻击者利用伪造证书实施攻击。
• 服务器端的密码存储要做好：传输安全不代表存储安全，服务器收到密码后，绝对不能明文存储，必须用bcrypt、Argon2这类慢哈希算法进行加密存储，防止服务器被攻破后密码泄露。

简单来说：只要你的HTTPS链路配置正确（合法证书+严格校验），直接通过HTTPS发送未加密密码的Ajax请求，在传输层面是完全安全的。

内容的提问来源于stack exchange，提问作者Saj