你有没有想过，微信发一条语音、淘宝下个单、甚至只是刷个微博，这些数据是怎么从你手机跑到服务器又回来的？中间可要经过好几道网关、路由器、运营商设备——要是没点防护，就像把写满银行卡号的明信片扔进邮筒，谁都能顺手拆开看两眼。
HTTPS 不是魔法，是加密在干活
浏览器地址栏那个小锁头图标，背后其实是 TLS（Transport Layer Security）协议在默默工作。它不是单一算法，而是一套“组合拳”：握手阶段用 RSA 或 ECDHE 协商密钥，传输阶段用 AES 或 ChaCha20 加密实际数据，再用 HMAC 或 Poly1305 防篡改。举个例子：
Client Hello → 服务器选中 ECDHE + AES-256-GCM
双方算出同一个会话密钥 → 后续所有 HTTP 请求都用这个密钥加密别只盯着 HTTPS，APP 里也藏了门道
很多国产 APP 并不直接走标准 TLS，而是自己加一层“混淆”或“预置密钥”。比如某外卖软件登录时，密码不是明文传，而是先用 SM4（国密算法）本地加密，再套一层 HTTPS 发出去。这样就算有人抓包，看到的也只是乱码串：
原始密码：123456
SM4加密后（密钥固定）：8a7f2c1e...（32位十六进制）公共 WiFi 上更得留神
咖啡馆连上免费 WiFi，你以为只是连网？其实你和路由器之间那段无线信号，可能正被旁边座位的人用 Wireshark 悄悄监听。这时候，哪怕网站用了 HTTPS，但 DNS 查询默认还是明文的——他能知道你访问了哪个域名。解决办法很简单：在手机设置里打开「私有 DNS」，填上 dns.google 或 1.1.1.1，让 DNS 查询也走加密通道。
顺手记两招实用习惯
• 看网址是否以 https:// 开头，尤其输密码前；
• 安卓用户进「设置→网络与互联网→私人 DNS」，iOS 用户进「设置→无线局域网→当前网络右侧ⓘ→配置DNS→手动」；
• 别随便装来路不明的“WiFi加速器”类APP，有些会偷偷关掉系统 TLS 验证。