HTTP劫持如何防护加固

本文目录导读：

1. 强制全站 HTTPS（最核心手段）
2. 内容完整性校验（应对 CDN 或中间缓存劫持）
3. 服务端与网络层加固
4. 客户端主动检测与防御
5. 运营商/路由器劫持（中国特色场景）
6. 监控与应急响应
7. 常见陷阱与误区

HTTP劫持（通常指中间人攻击或运营商/路由器恶意篡改响应）的防护加固需要从传输层加密、内容完整性校验、客户端检测三个维度综合实施,以下是具体加固方案：

强制全站 HTTPS（最核心手段）

HTTP劫持的本质是明文传输，HTTPS 的 TLS 加密可以防止内容被篡改。

• 301 重定向：配置 Web 服务器（Nginx/Apache），将所有 HTTP 请求 301 重定向到 HTTPS。
• HSTS 头：在 HTTPS 响应头中添加 Strict-Transport-Security，强制浏览器在未来指定时间内（如max-age=31536000; includeSubDomains）只通过 HTTPS 访问。
• CDN 支持：如果使用 CDN，确保 CDN 回源也是 HTTPS，并启用 CDN 的 HTTPS 加速。

内容完整性校验（应对 CDN 或中间缓存劫持）

HTTPS 无法部署或作为第二道防线,对传输内容进行签名。

• Subresource Integrity （SRI）：在 <script> 或 <link> 标签中使用 integrity 属性，浏览器会计算资源哈希值，如不匹配则拒绝加载。

  <script src="https://cdn.example.com/app.js" 
          integrity="sha384-...（资源hash）" 
          crossorigin="anonymous"></script>

• 数字签名：对敏感 API 响应或 HTML 片段（如支付信息）进行服务端签名,客户端验证签名后再渲染。
• 页面指纹：对核心页面（如登录页）的关键 DOM 元素生成哈希，在客户端通过 JS 对比,出现异常则弹出警告。

服务端与网络层加固

• DNS 安全：使用 DNSSEC 防止 DNS 劫持指向恶意 IP。
• CDN 配置：启用 CDN 的 HTTPS 回源，并配置 HTTP/2 或 HTTP/3（QUIC）,降低中间人篡改概率。
• HSTS Preload：将域名提交到浏览器的 HSTS Preload 列表（如 hstspreload.org），避免首次访问时 HTTP 请求被劫持。

客户端主动检测与防御

• 前端劫持检测：在页面加载完成后，使用 JavaScript 脚本检测自身页面是否被篡改（如对比 document.documentElement.outerHTML 哈希）。
• 动态加载资源：避免静态引用第三方资源，改为通过 JS 动态创建 <script> 并验证其哈希（结合 CSP 的 nonce 属性更佳）。
• WebSocket 安全：对敏感数据（如实时通信）使用 wss:// 协议，并服务端校验 Origin 头。

运营商/路由器劫持（中国特色场景）

• 关闭公网 IP 的 80/443 端口：如无必要，不在公网直接暴露 HTTP 服务；国内运营商常对 HTTP 流量进行注入（如加弹窗广告）。
• 协议升级：使用 HTTP/2 的二进制分帧，一定程度上增加中间设备篡改难度（但仍需 TLS 保护）。
• 开启 CSP（内容安全策略）：通过 Content-Security-Policy 头限制脚本、样式、图片等资源的加载源，防止被注入恶意脚本。

  Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-随机值'; style-src 'self' 'unsafe-inline';

监控与应急响应

• 主动扫描：用模拟浏览器工具（如 Puppeteer）定期抓取自己的页面，比对源代码是否被运营商（如移动、联通）注入广告或跳转代码。
• CDN 边缘审计：如果使用自建 CDN，在边缘节点对回源响应进行哈希校验,发现篡改立即切换节点。
• 日志分析：监控 Web 服务器日志中异常的 User-Agent、Referer 或响应头（如运营商插入的 X-Cache 头）,建立劫持特征库。

常见陷阱与误区

• 仅 HTTP 跳转 HTTPS：若首次请求仍为 HTTP，跳转响应本身可能被劫持（需要 HSTS 配合）。
• CDN 未开启 TLS 回源：CDN 到源站之间的 HTTP 通信可能被内网劫持。
• 问题：HTTPS 页面中加载了 HTTP 资源（如图片、iframe）,这些资源可能被篡改影响页面完整性。

对于生产环境，HTTPS + HSTS Preload + CSP + SRI 是当前最稳妥的组合方案，如果无法全面部署 HTTPS（例如老旧系统），至少对敏感页面（登录、支付）强制 HTTPS，并对所有动态资源使用 Subresource Integrity 进行完整性校验。