你在咖啡馆连上免费Wi-Fi，打开一个购物网站，浏览了几件商品，然后加入购物车准备下单。你有没有想过，这些操作发出的数据，别人能不能看到？换句话说，HTTP请求的内容，真的安全吗？
HTTP是什么？
HTTP（超文本传输协议）是浏览器和服务器之间通信的基础。当你访问一个网站时，浏览器会向服务器发送一个HTTP请求，比如：GET /index.html HTTP/1.1，服务器收到后返回网页内容。
这个过程就像寄信——你写好信（请求），贴上收件人地址（网址），投进邮筒（网络），最后送达对方手中。但问题来了：这封“信”是密封的，还是任何人都能拆开看？
明文传输的隐患
传统的HTTP是明文传输的。也就是说，你发送的请求头、请求参数、表单数据，甚至登录密码，只要没加密，都会以原始形式在网络中传播。
如果有人在同一个局域网下，比如你正在用的公共Wi-Fi，使用抓包工具（如Wireshark、Fiddler），就能轻松捕获这些数据包。他们能看到你访问了哪个网站、提交了哪些信息，甚至你的用户名和密码。
POST /login.php HTTP/1.1\r\nHost: example.com\r\nContent-Type: application/x-www-form-urlencoded\r\nContent-Length: 27\r\n\r\nusername=admin&password=123456上面这段就是典型的HTTP POST请求，账号密码一览无余。
HTTPS才是关键
现在大多数正规网站都用HTTPS代替了HTTP。多出来的那个“S”，代表Secure（安全）。它在HTTP基础上加了一层加密协议（通常是TLS/SSL），所有传输内容都会被加密。
即使有人抓到了数据包，看到的也只是乱码，无法还原出原始信息。你可以在浏览器地址栏看到小锁图标，说明连接是加密的。
别以为只有黑客才懂抓包
其实，抓HTTP请求并不需要高深技术。现在很多手机App自带“调试模式”，或者用一些简单的代理工具，普通用户也能看到自己设备发出的请求内容。开发者常用这种方式排查问题，但也提醒我们：网络传输没有绝对隐私，除非加密。
日常使用建议
尽量避免在公共Wi-Fi下登录银行、邮箱或输入密码。如果必须操作，请确认网址是https://开头，并且页面没有安全警告。安装正规安全软件也有助于识别风险连接。
另外，网站开发者也应默认启用HTTPS，将HTTP请求自动跳转到HTTPS，避免用户误发敏感信息。