你有没有过这样的经历？在网吧或公共Wi-Fi下登录游戏账号，心里总有点发毛，总觉得有人在盯着你输密码？其实这种担心不是没道理的。以前用HTTP的时候，数据都是明文传的，就像寄明信片，谁都能看内容。现在大多数网站都改用HTTPS了，连游戏官网和登录页面也基本全是HTTPS，那它是怎么防别人偷看的？
数据加密：把信息变成天书
HTTPS的核心是加了密。它并不是一个全新的协议，而是在HTTP的基础上加了一层SSL/TLS加密。简单说，就是你和服务器之间通信前，先商量好一套只有你们俩懂的“暗语”。哪怕别人截获了数据包，看到的也是一堆乱码。
比如你在登录《原神》官网时输入账号密码，浏览器不会直接把“用户名=小明，密码=123456”发出去，而是先用协商好的加密算法处理成类似“x9!k#m@2v$”这样的密文，再传输。中间就算被截获，破解成本也非常高。
加密是怎么“谈拢”的？
这个“暗语”的建立过程叫“TLS握手”。当你访问一个HTTPS网站时，浏览器会先向服务器要它的数字证书，验证这确实是官方服务器，不是钓鱼网站。确认无误后，双方通过非对称加密交换密钥，之后再用这个密钥进行对称加密通信。
非对称加密听起来复杂，其实就像你有个带锁的箱子，别人可以把东西放进去，但只有你有钥匙能打开。这样即使有人监听，也拿不到真正的密钥。
为什么游戏配置页面也要HTTPS？
你可能觉得，我只是查个游戏配置，又不登录，怕啥？但别忘了，很多网站是统一用HTTPS的。而且现代浏览器一旦发现页面用了HTTP，就会标上“不安全”，影响用户体验。更重要的是，如果你在HTTP页面登录，哪怕只是顺手点了个“账号绑定”，密码也可能被嗅探工具抓走。
曾经有玩家在公共网络下玩《CS:GO》，用HTTP的论坛登录Steam，结果账号被盗，装备全被搬空。后来才发现，问题出在没注意地址栏是不是绿色的小锁头。
小锁头真的靠谱吗？
浏览器地址栏那个小绿锁，代表当前连接是HTTPS加密的。但它只能保证传输过程加密，不能保证网站本身是合法的。有些钓鱼网站也会申请免费证书，看起来也有锁。所以除了看锁，还得看域名对不对。比如你登录的是“account.official-game.com”，而不是“account-game.login.fake”。
下次进游戏官网，花两秒看看是不是HTTPS，尤其是要输密码的时候。这不是 paranoid，而是基本的安全习惯。