我是否需要从移动应用强制使用HTTPS到API？

Question

如果我的移动应用只使用HTTPS向我的API发出请求，我是否需要担心强制HTTPS /禁止HTTP请求？

Answer 1

是的，你可以。 TLS容易被称为Downgrade Attack。因此，请务必使用HSTS (HTTP Strict Transport Security)将其强制为HTTPS，并禁止应用程序服务器中的普通HTTP请求。