https：保护/加密了多少？

Question

我在考虑 https，我想知道。保护了多少？整个请求是否加密？我怀疑这不是因为服务器如何知道要连接到哪个域？只有身体加密吗？如果我请求http://joes-site.com/abc/file.ext，人们可以看到我请求的文件吗？

我假设帖子数据是用 https 加密的，是 cookie 吗？究竟什么没有加密？

Answer 1

整个会话都经过加密，包括完整的请求和 cookie 等标头。在服务器名称指示（RFC4366，第 3.1 节）之前，这使得无法选择使用 HTTPS 向哪个虚拟主机发送请求，因此使用 HTTPS 的服务器必须为每个域/虚拟主机分配一个 IP。观察者唯一能看到的是封装协议信息（到/来自 IP、端口等）

使用 SNI，vhost 在 TLS 协商期间传输。虚拟主机（但不是整个请求……只是主机名）此时将是可见的，但随后的请求将被完全加密。