上周三加班到十点，蹲在公司楼下连锁咖啡店蹭网改报销方案，刚要输银行卡号，浏览器啪的弹个红框，明晃晃写着“您正在访问的连接不安全”。
我当时第一反应是网被人蹭了？
不是。是HTTPS那道线给拦下来了。
你以为的小锁，只是个入门门槛
好多人对HTTPS的认知，全来自地址栏那枚小小的锁。默认只要锁亮着，这网站就是正规的、靠谱的、没套路的。
真不是。
我前阵子帮我妈处理她手机里的诈骗短信，点进去那个仿冒某电商平台退款的页面，做得跟真的一模一样，地址栏的小锁亮得好好的，连证书信息都写得有模有样。要是我晚个两分钟提醒她，她都能把支付密码输进去。
说白了，那枚小锁从来不是网站的“诚信勋章”。
HTTPS的核心作用，从来不是给网站“做背书”，只是给你和网站之间的传输通道加了层不透明的信封——证明从你的手机、电脑，到网站服务器这段路上，没有人能随便拆开你发出去的内容，也没人能偷偷把你要发的消息改两笔。网站本身是好人还是骗子，这层信封根本管不了。
没有HTTPS的网，到底有多“裸奔”
之前有个做网络安全的朋友跟我演示过，在没密码的公共WiFi下，他拿个普通的笔记本电脑，花十分钟装了个免费工具，就能看到整个网里所有人发的明文内容。
你在没加密的HTTP网站上输的手机号、填的收货地址、甚至你刚跟朋友发的吐槽老板的聊天记录，在他的屏幕上看得一清二楚。
就像你在闹市区的十字路口跟人喊你家的门牌号，路过的人只要耳朵不背，全能听见。更缺德点的，还能半路把你要给商家的付款二维码，换成他自己的收款码。等你付完钱等了半天货，才发现钱早进了陌生人的口袋。
这也是为啥现在所有主流浏览器，但凡碰到没上HTTPS的网站，直接给你打个大红叉，连网站内容都要先弹个警告框拦一下。不是浏览器故意给你添堵，是这种“透明信封”的传输方式，真的太容易被人钻空子了。
我之前上学的时候就碰到过，在图书馆连免费网，开个HTTP的小说网站，刚点进去，整个页面被人改了，弹出来一堆网游的广告，连我电脑的主页都被偷偷改成了那个垃圾导航站。折腾了半天才改回来。现在想想，那时候没在那个网上输过银行卡号，真的是命大。
别把HTTPS当万能防弹衣
说回最容易踩的坑。
好多人看到地址栏有小锁，就彻底放下戒心，什么密码都敢输。
真不行。
HTTPS管的是“路上有没有人偷看”，管不了“对面坐的是不是骗子”。
比如你从短信里点进去的钓鱼网站，人家花几十块钱就能申请个合法的HTTPS证书，小锁亮得比真网站还标准。你要是看到小锁就放心大胆输密码，那跟把家门钥匙直接递给骗子，没什么区别。
我上次碰到个更离谱的，有个仿冒社保查询的网站，HTTPS证书全齐，连网站里的政策文件都抄得跟真的社保官网一模一样，就靠那枚小锁，骗了好几个退休的老人填身份证和银行卡号。
说实话，真要判断网站靠不靠谱，别光盯着那枚小锁看。多瞅一眼域名，是不是跟你平时用的官方地址对得上，有没有多打几个字母，有没有奇怪的后缀。毕竟小锁能保你传输的安全，保不了你自己不踩坑。
对了，下次再碰到浏览器弹出来的“连接不安全”的红框，别嫌麻烦直接点继续访问。
尤其是你要输密码、输银行卡号的时候。
多等两秒。
总比钱没了再后悔强。