为什么没有加密就传递帐户密码

Question

通过嗅探器(Fiddler),我可以查看通过我的PC发送到网络的流.令人惊讶的是,我发现当我登录谷歌帐户(https)时,密码以明文形式发送,例如

POST https://accounts.google.com/ServiceLoginAuth HTTP/1.1 
... 

Email=abc@gmail.com&**Passwd=12345678** 

我的问题是:为什么密码在没有加密的情况下通过,即使使用https协议？

Answer 1

HTTPS加密整个请求和响应.

但是,您告诉Fiddler使用不受信任的根证书进行解密.

换句话说,你自己是MITMing,并告诉浏览器忽略不受信任的证书.