中间人攻击：别让“隔壁老王”偷看你的聊天
你在咖啡店连上免费Wi-Fi，顺手登录邮箱查个文件。可你不知道，有人正通过同一网络截取你的数据。这种场景下最常见的就是中间人攻击（MITM）。攻击者伪装成合法通信方，悄悄监听或篡改你和服务器之间的信息。
防范方法其实不难。确保网站使用 HTTPS 协议，浏览器地址栏的小锁图标就是第一道防线。另外，别随便连接来路不明的公共Wi-Fi，真要用，最好搭配可信的VPN服务加密流量。
重放攻击：验证码昨天有效，今天还能用？
小李收到一条银行验证码短信，但他没操作任何业务。黑客可能已经截获他之前合法的通信数据，并在稍后重复发送，试图绕过身份验证。这就是重放攻击——不是破解协议，而是“复制粘贴”已有消息。
解决办法是在通信中加入时间戳或一次性随机数（nonce）。比如登录请求里带上当前毫秒时间，服务器只接受5秒内的请求，旧数据直接丢弃。
代码示例：添加时间戳防止重放
{
"username": "zhangsan",
"token": "abc123xyz",
"timestamp": 1712048400000
}SSL剥离：从HTTPS悄悄退回到HTTP
你以为自己访问的是安全网页，但实际上连接被降级到了不加密的HTTP。攻击者利用用户习惯——只输域名不加https——把你的请求拦截并代理，让你以为一切正常，实则数据裸奔。
启用HSTS（HTTP Strict Transport Security）能有效应对。只要服务器在响应头中声明：
强制浏览器使用HTTPS
Strict-Transport-Security: max-age=31536000; includeSubDomains浏览器就会记住这个规则，在接下来的一年里自动用HTTPS访问该站点，哪怕用户手动删掉s也无效。
证书伪造：看起来正规，其实是假脸
有些攻击者会伪造数字证书，冒充银行或电商平台。如果你的设备被植入了恶意根证书，系统就会“信任”这些假证，根本看不出异常。
普通用户最简单的做法是留意浏览器警告。一旦弹出“您的连接不是私密连接”这类提示，千万别点“继续访问”。企业环境则应统一管理受信证书，禁止私自导入。
弱加密套件：看似加密，实则纸糊的门
老旧系统还在用DES或RC4这类已被攻破的加密算法，就像给大门装了个塑料锁。现代TLS配置应禁用已知不安全的加密套件。
以Nginx为例，配置时明确指定强加密算法：
Nginx安全加密配置
ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512;
ssl_prefer_server_ciphers on;
ssl_protocols TLSv1.2 TLSv1.3;定期用在线工具如SSL Labs扫描服务器配置，及时发现隐患。