HTTP 安全
HTTP 用于通过 Internet 进行通信，因此应用程序开发人员、信息提供商和用户应了解 HTTP/1.1 中的安全限制。本次讨论不包括针对此处提到的问题的最终解决方案，但确实提出了一些降低安全风险的建议。
个人信息泄露
HTTP 客户端通常知道大量的个人信息，例如用户的姓名、位置、邮件地址、密码、加密密钥等。因此您应该非常小心，防止这些信息通过 HTTP 协议无意泄露给他人。其他来源。
所有机密信息都应以加密形式存储在服务器上。
透露服务器的特定软件版本可能会使服务器机器更容易受到针对已知包含安全漏洞的软件的攻击。</li> 作为通过网络防火墙的门户的代理应采取特殊的预防措施，以传输标识防火墙后主机的标头信息。 在"发件人"字段中发送的信息可能会与用户的隐私利益或他们网站的安全政策发生冲突，因此，在用户无法禁用、启用和修改该字段内容的情况下，不应传输这些信息. 如果引用页面是使用安全协议传输的，则客户端不应在（非安全）HTTP 请求中包含 Referer 标头字段。 使用 HTTP 协议的服务的作者不应使用基于 GET 的表单提交敏感数据，因为这会导致数据在请求 URI 中编码。 基于文件和路径名的攻击
文档应仅限于 HTTP 请求返回的文档，仅限于服务器管理员想要的文档。
例如，UNIX、Microsoft Windows 和其他操作系统使用
'..' 作为路径组件来指示高于当前目录级别的目录级别。在这样的系统上，HTTP 服务器必须禁止请求 URI 中的任何此类构造，否则它会允许访问那些旨在通过 HTTP 服务器访问的资源之外的资源。
DNS 欺骗
使用 HTTP 的客户端严重依赖域名服务，因此通常容易受到基于 IP 地址和 DNS 名称故意错误关联的安全攻击。因此，客户端在假设 IP 号码/DNS 名称关联的持续有效性时需要谨慎。
如果 HTTP 客户端缓存主机名查找的结果以实现性能改进，则它们必须观察 DNS 报告的 TTL 信息。如果 HTTP 客户端不遵守此规则，则当先前访问的服务器的 IP 地址发生更改时，它们可能会被欺骗。
位置标头和欺骗
如果单个服务器支持多个互不信任的组织，则它必须检查在所述组织控制下生成的响应中的 Location 和 Content Location 标头的值，以确保它们不会尝试使他们没有权限的资源失效。
身份验证凭据
现有的 HTTP 客户端和用户代理通常会无限期地保留身份验证信息。 HTTP/1.1 没有为服务器提供一种方法来指示客户端丢弃这些缓存的凭据，这是一个很大的安全风险。
有许多解决此问题的方法，因此建议在屏幕保护程序中使用密码保护、空闲超时和其他缓解此问题固有安全问题的方法.
代理和缓存
HTTP 代理是中间人，代表了中间人攻击的机会。代理可以访问与安全相关的信息、有关个人用户和组织的个人信息以及属于用户和内容提供商的专有信息。
代理运营商应该保护运行代理的系统，因为他们会保护任何包含或传输敏感信息的系统。
缓存代理提供了额外的潜在漏洞，因为缓存的内容是恶意利用的一个有吸引力的目标。因此，缓存内容应作为敏感信息加以保护。
