HTTP是怎么工作的？
当你在浏览器地址栏输入一个网址，比如 http://example.com，你的设备就会向服务器发起请求，想要获取网页内容。这个过程用的就是HTTP协议，全称是超文本传输协议（HyperText Transfer Protocol）。它就像是快递员，负责把网页、图片、视频这些数据从服务器“搬”到你的手机或电脑上。
但问题来了，这个“快递员”送东西的时候，包裹是敞开的。别人在路上随便瞟一眼，就能看到里面装的是什么。这就是HTTP最大的软肋——不加密。
信息裸奔的后果
想象一下你在咖啡馆连着公共Wi-Fi，登录一个老网站，账号密码直接通过HTTP传过去。这时候，旁边有个懂点技术的人开着抓包工具，你的用户名和密码可能几秒就被截获了。这不是电影情节，现实中每天都在发生。
更危险的是，有些攻击者不仅能偷看，还能动手脚。比如你访问的页面被中途篡改，原本正常的下载链接变成了病毒文件，而你完全察觉不到。这种中间人攻击（Man-in-the-Middle）在HTTP环境下轻而易举。
为什么HTTPS更安全？
现在大多数正规网站都用HTTPS了，那个字母“S”代表的就是“Secure”，安全。它在HTTP的基础上加了一层SSL/TLS加密。相当于把原来的敞篷快递车换成了带锁的密封箱，只有你和收件服务器有钥匙能打开。
你可以注意浏览器地址栏，如果网址开头是https://，并且有个小锁图标，说明连接是加密的。比如登录银行、支付、邮箱这类敏感操作，必须确保是HTTPS，否则风险极高。
HTTP还在用？当然，但得小心
并不是所有地方都强制用HTTPS。一些内部系统、测试环境或者老旧设备可能还在跑HTTP。比如公司内网某个管理页面，管理员图省事没配证书，员工日常访问也就这么凑合着用了。
但这不代表没问题。一旦内网被渗透，攻击者很容易监听所有HTTP流量。所以即便是内部使用，也不该掉以轻心。现在很多浏览器也会对HTTP站点标上“不安全”警告，提醒用户注意。
怎么判断自己是否安全？
最简单的办法就是看网址。别嫌麻烦，每次输账号密码前，抬头看看是不是https://开头。另外，尽量避免在公共Wi-Fi下进行敏感操作，除非确认连接是加密的。
如果你是网站开发者，别再用HTTP明文传数据了。Let's Encrypt提供免费SSL证书，配置也不复杂。让用户安心，其实没那么难。
<!-- 一个典型的HTTP请求示例 -->
<GET /index.html HTTP/1.1>
<Host: example.com>
<User-Agent: Mozilla/5.0>
<Accept: text/html>这段请求里没有任何加密措施，所有字段都是明文。换成HTTPS后，整个通信过程都会被加密，即使被截获也看不懂内容。