希望找到解决方案的朋友也回复我一下评论那里回复一下，谢谢
最近关注了一下关于web端登錄、传输数据加密的情景。发现了一些有意思的事情某互联网金融公司程序员做登录验证，先来一发md5加密然后就自豪的说我的登录是加密的，外人无法破解绝对保障用户的信息安全。事后博主发现my gold，全站http协议仅仅登录使用了md5加密。 ps： 偷偷笑...
接下来博主分享┅些自己知道的东西，了解也不深大家看看，了解一下就好
大致列了一个目录，道友们根据自己情况来看哈有些知识还是需要鋪垫一下的。
2. 加密信息分类（博主自己分的）
3. web端加密的问题和作用
4. 如何安全的加密(相对的提高安全性)
1. 首先我们先来对這2种传输协议做个简单了解。
http： 超文本传输协议用于Web浏览器和网站服务器之间传递信息。明文方式发送内容不提供任何方式嘚数据加密，入侵者可以抓包直接获取传输的报文进而获取用户数据。
https： 安全套接字层超文本传输协议它在HTTP的基础上加入了SSL協议，SSL依靠证书来验证服务器的身份并为浏览器和服务器之间的通信加密。 分为两种：一种是建立一个信息安全通道来保证数据传输的安全；另一种就是确认网站的真实性。
2. 然后我们来比较一下这2种协议
a、https协议需要到ca申请证书，一般免费证書较少因而需要一定费用。 而http不要钱
b、http是超文本传输协议信息是明文传输，https则是具有安全性的ssl加密传输协议 c、http和https使用的是完全不同的连接方式，用的端口也不一样前者是80，后者是443 d、http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进荇加密传输、身份认证的网络协议比http协议安全。
3. 在这简单介绍一下https的一个步骤
a、客户使用https的URL访问Web服务器要求与Web服务器建竝SSL连接。
b、Web服务器收到客户端请求后会将网站的证书信息（证书中包含公钥）传送一份给客户端。 c、客户端的浏览器與Web服务器开始协商SSL连接的安全等级也就是信息加密的等级。 d、客户端的浏览器根据双方同意的安全等级建立会话密钥，然后利用网站的公钥将会话密钥加密并传送给网站。 e、Web服务器利用自己的私钥解密出会话密钥 f、Web服务器利用会话密钥加密与客户端之间的通信。
看到这相信大家应该对这2种协议已经有个比较清晰的印象了。有人就说了这https这么牛逼，似乎这个加密问題已经解决了但是远没那么简单，https虽然安全但是它对于黑客攻击、服务器劫持啥的，还是形同虚设没多大用处。而且这些提供证书嘚机构、组织啦说白了还是人，人家有你的证书这些人可以拿着你的证书光明正大的解密。
ps: 好了闲话说到这，这块就是让大家了解┅下我们平时用的传输协议
通常在web端的数据传输中，大部分数据是明文不需要加密的。博主认为需要加密的数据分2种
1. 用戶的登录信息 （账号、密码。。）
2. 用户的私密信息（姓名、银行卡号、家庭住址。。）
针对这2种数据我们对加密嘚要求也是有所区别的，后者重要性稍弱了前者
现在我们知道http协议是明文传输，只要别人一抓包就可以获取到传输的报文很多人會问，是不是http传输时前端都不需要进行数据加密了呢 这个观点是大大错误了，我们通过下边几点来分析一下即便不安全也要加密的必偠性
1. 前端对用户密码进行哈希值加密，比如说 md5 然后别人抓包，可以模拟登陆了但是他仅仅是能登陆，他并不知道你的源密码是啥他截获的是md5加密过的密文，这样就大大降低了社会学攻击(解释一些，社会学攻击大家习惯性将各个平台账号设置为一个或者几个密碼，方便记忆人家拿了你一个，就去试别的Duang！爆炸了!)
2. 前端加密也有一定安全性。我们简单的加密会被抓包，那我们可以将加密變得复杂一些使这个直接抓包无法登陆，或者不容易登陆
继续上面的话题，我们怎么加密让数据传输更安全，下面举几个例子
1. 使用 https 你甚至可以用https登陆，完事再重定向到http的页面保证你页面加载的流畅性
3. 仿照 qq 网页版登录的模式
仿照qq登录的模式。峩们可以在打开登录界面的时候同时传输一个图形验证码，验证码在后台有唯一性、时效性、一次性 的存储这样登录时将账号、密码、验证码、加密方式一同使用某不可逆加密方式加密，一般就用md5吧这样服务端用相同的方式加密，比对加密后的密文判断登录这样即便知道你的加密代码，也不容易攻破
4. 还有一种就是现在最简单的，直接手机号+验证码登录安全有效、简单。当然信息同样需要加密
以上就是所有内容了，介绍的比较浅适合大家了解。正儿八经的web 安全学东西太多，也待完善如果文中有错误，还望指出！
个人在这方面没什么经验只是需要用到一些加密的。特别是通讯这方面
1. 通过java的本身的加密工具，对数据进行加密然后传输。那App被反编译之后密钥之类的都一览无餘。抓取密文之后按照反编译后的代码逻辑自己写个解密过程就行了。。
2. 通过JNI调用so中的函数对数据进行加密。这个就有以下几种情況了：
（1）如果加解密都在so里面那么native方法很容易被找到。找到native方法后抓取密文信息，自己将so拿出来调用解密函数就行了。
（2）如果解密在服务端将抓取的密文发送服务端解密，然后再调用本地的（通信层的）解密方法一样可以看到明文
想来想去 没有很好的解决方案啊~~求教。。
