“全站HTTPs”俨然成了目前的热门话题，很多网站都在摩拳擦掌要实行全站HTTPs。凑巧，我们（沪江）也在推行这个计划。
一开始大家想得都很简单，把证书购买了、配好了，相应的路径改一改，就没有问题。事实也确实如此，单个独立站点的HTTPs改造是很容易的。一旦走向“全站”，才发现事情远远比想象的要复杂，全站意味着所有资源面对所有客户端，涉及的因素异常多，网络上又没有太多资料，只能自己摸索。下面我简单讲讲遇到的几个问题，提供一些经验给大家参考。
HSTS
如果一个网站既提供了HTTP服务，又提供了HTTPs服务（在过渡期通常如此），怎样引导用户访问HTTPs的站点呢？这就是HSTS（HTTP Strict Transport Security）的作用。通过Web服务器上的设置，在收到HTTP访问请求时，返回的header里带有Strict-Transport-Security字段，告知浏览器必须使用HTTPs进行访问。
但是，HSTS并不能避免首次跳转时遇到的劫持。要彻底解决这个问题，可以申请加入Preload List（预加载列表）。
Preload List是由Google Chrome维护的“HTTPs站点列表”，Chrome, Firefox, Safari, Edge, IE 11均在使用。一旦浏览器发现要访问的站点在Preload List上，默认就会发起HTTPs链接。这样，就避免了HSTS的首次跳转被劫持的隐患。
通常的方案里，HTTPs的加密传输只限于客户端出发的公网阶段，在内网的通讯流量仍然采用非加密的HTTP传输。这种“把加密流量转换为非加密流量”的过程，就是常说的SSL/TLS卸载(Offloading，以下简称“SSL卸载”)。
有一些公司会采用F5来做负载均衡，F5应付单纯的L4和L7的流量是没有问题的，但进行SSL卸载时性能往往会急剧降低，F5可以提供专门的加速卡来解决这个问题，但价格不便宜。所以，还需要专门环节来进行SSL卸载，常见的Nginx和HAProxy都可以执行这个任务。
2010年Intel出品的Westmere系列处理器之后，CPU支持AES-NI(Advanced Encryption Standard New Instructions)指令集，可以极大提高软件进行SSL加解密的速度（通常的数据是5倍左右）。但是，单纯采用CPU并不会直接享受这种好处，还需要对应的OpenSSL提供支持。想要知道自己的OpenSSL是否利用了AES-NI加速，可以用OpenSSL的命令行调试，加上-evp参数，测试速度是否有明显变化即可。
# without EVP API openssl speed aes-256-cbc Doing aes-256 cbc for 3s on 16 size blocks: 14388425 aes-256 cbc's in 3.00s # with EVP API openssl speed -evp AES256 Doing aes-256-cbc for 3s on 16 size blocks: 71299827 aes-256-cbc's in 3.00s
HTTP的服务是很好验证的。一般来说，无论客户端是浏览器，还是其它工具，还是程序代码，同样的行为，结果都是相同的。所以只要一种客户端验证通过，基本就可以认为这个服务是没有问题的。HTTPs的站点则不是如此。
与HTTP不同，HTTPs的连接建立是需要进行证书验证的，一定要从根证书开始形成完整的信任链条，连接才可以建立成功。然而，浏览器、普通工具、程序类库，它们所信任的根证书在管理上是互相独立的。比如，与浏览器不同的是，C#信任的根证书在local machine store或者current user store中，Java信任的根证书在JDK安装目录下的cacerts目录中，iOS和Android的证书管理又有不同。好在厂商一般都提供了非常详细的说明，仔细阅读即可。
因为浏览器的证书在使用中又可以持续更新，用户往往感知不到，如果“想当然”认为浏览器验证通过就万事大吉，很可能会出问题。比如国内有不少网站使用WoSign签发的证书，但老版本的JDK并不信任WoSign的根证书，用浏览器浏览没问题的网站，程序就会报错，除非手动导入证书。Android的信任列表是随固件更新而更新的，4.2以后才内置WoSign的信任。因为WoSign行为不端，前几天Firefox, Chrome, Safari等主流浏览器又取消了对它的信任，也就意味着WoSign证书有安全风险，所以已经内置WoSign根证书的程序也应当做对应的设置。
还是上面的现象：用浏览器验证没有问题的HTTPs站点，用程序访问就有问题。这是为什么？
在服务器上证书配置错误，只有最终证书，而缺少中级证书的情况，我见过几次了。通常，最终证书里包含了中级证书相关的信息，所以如果缺少中级证书，浏览器为了建立证书链，会做一次耗时的操作来获取中级证书，而且这一切都发生在HTTPs连接真正建立之前。更糟糕的是，不少浏览器为了“表现更好”，会想办法绕过这个问题。所以缺少中级证书的情况一直存在，一直不会被发现，而程序调用的速度总是上不去，甚至有一定几率报错（我就遇到过这个诡异的问题）。
如果把证书链配置完全，还要注意证书链的大小。有一些网站的完整证书异乎寻常地大，达到若干kb甚至几十kb，也就是说，在建立连接之前，就必须先传输这么多的数据。如果做单纯的PC网页浏览，或许不会有问题。但对于移动端和程序调用来说，这就是一场灾难。最好的办法，是用OpenSSL配合WireShark之类的工具，自己动手来测试。如果你熟悉TCP相关的知识，往往可以得到更好的优化方案。
OCSP和CRL也不可忽略。这两项技术用来保证撤回证书（让证书失效）的有效性。如果你仔细观察，会发现证书里都指定了对应的OCSP或者CRL的URL，用来检查证书是否失效。按道理说，在每次建立HTTPs连接时，都应当进行OCSP或CRL检查。返回结果通常在1k左右，如果请求非常频繁，这个因素也应当考虑。
大家都熟悉“虚拟主机”的概念，它可以让多个域名对应到同一个IP，让同一台服务器服务多个站点。在HTTP时代，可以在header中通过host来指定需要访问的域名，一切看起来都那么完美。
但是在HTTPs时代，却没有这样的好事，传统的HTTPs服务很难让多个域名对应到同一个IP。在进行到HTTP通讯之前，必须先建立验证证书建立连接。如果一个IP上绑定了多个域名，这个阶段服务器根本没法知道请求对应的是哪个域名，无疑会造成极大的不便。
为了解决这种问题，SNI(Server Name Identification)应运而生了。这种技术说起来复杂，大家可以把它简单理解为“建立SSL/TLS通讯时的host header”，这样就解决了一个IP只能配单张证书的问题。
然而SNI的诞生历史并不长，许多客户端的支持都存在奇怪的问题。比如JDK7支持SNI，但是JDK8的支持又有bug。而且这种支持往往需要调用原生的API才可以实现，Resteasy之类的类库并不支持。如果对SNI的支持有问题，即便配置正确也可能无法建立连接，因为服务端并不能识别此请求需要的证书。
CDN已经是业界流行的技术了，对稍微大一点的网站来说，没有CDN几乎是不可想象的。HTTP时代的CDN方案相当成熟，HTTPs的情况则不是如此。
要使用HTTPs的CDN服务，就要决定是否将证书交给CDN提供商。基于中国目前的商业信誉水平，把证书交给CDN提供商的风险不可不考虑。恶意揣测，别有用心的人一旦拿到证书，可以很方便地通过DNS劫持发起中间人攻击，而完全不被感知到。
另外，HTTP时代大家都喜欢将资源分散到多个不同的域名，因为建立连接的成本很低，而同一个域名的并发连接数有限。在HTTPs环境下，每次建立连接的成本高了很多，频繁下载和验证证书对移动设备和移动网络影响很大（尤其是证书很大的情况）。如果域名非常分散，影响就更加显著。所以在HTTPs时代，把域名收缩集中反而是更好的办法。
因为HTTPs的内容中无法引用HTTP的资源，所以应当保证网页中资源文件的链接都是HTTPs的。遗留的许多系统很可能并不注意这些事情，资源都采用绝对地址的形式，这样改起来工作量很大。如果要修改，最好一步到位，直接改成“协议相对URL”。
绝对地址URL：http://www.a.com/b.css 协议相对URL：//www.a.com/b.css
这样浏览器就可以根据当前的协议，自动生成资源的绝对地址，无论是HTTP还是HTTPs，都可以自由切换。
如果资源都是自有的，切换HTTPs就相对容易。如果存在外部，尤其是UGC的资源，切换到HTTPs就很麻烦。如果是超链接，通常采用专门的跳转服务，也就是下面这样：
https://link.my.com/target=www.you.com
如果是图片这类资源，可以设定专门的程序将其抓取过来存放在自己的服务器上，再将地址替换掉即可。但是，这样做很可能要自己承担流量压力，同时还要承担恶意程序攻击的风险。
如果是视频、游戏等富文本、交互复杂的资源，如果源站没有提供HTTPs的服务，多半只能忍痛割爱，放弃内嵌展现的形式了。
最后再补充两点经验：
From Life Sailor, post 全站HTTPs的那些坑
在上一篇文章里，我列举了一些种族歧视现象的亲身经历，引发了许多读者的讨论。但是让我略感遗憾的是，许多人大概没有注意文章的标题，没有觉察到关键是“比想象的要复杂”，所以直接给出了一个简单的论断。 我的本意绝不是强化已有的简单粗疏的刻板印象，而是希望让大家知道，种族歧视这回事，有许多的侧面和细节。了解这些侧面和细节，有助于我们形成更立体的认知。 于是就有了下面这些内容，希望能引发大家的思考。 一 种族歧视是一种最简单粗暴的歧视。 许多人都知道，“歧视”的英文是discriminate，准确的意思是“区别对待”。既然要区别对待，就自然首先必须有办法区分。目力所及，似乎没有人愿意“区别对待”与自己完全同样的人，而总是要先找出一点区别来，再实行区别对待。 所以，种族、口音、家庭出身、经济能力等等各种因素，都可以成为“区别”的指标，由此催生出区别对待。在这些因素当中，种族大概是最容易识别的特征——判断口音需要等对方开口，家庭出身、经济能力等等因素就更是要全面接触才可能了解。唯有种族，具体来说，绝大多数时候是相貌和肤色，是可以远远一眼就望见的。 也恰恰是因为这个原因，种族歧视特别容易引起反感。 这些年来，我得到的一条重要的生活经验是，如果你希望指出对方的问题，但又不纯粹是为了激怒对方，那么最好不要归因为一些木已成舟，对方无法改变的因素，否则对方多半会恼羞成怒。 举个例子，你觉得某人的口语表达还可以更好一点，完全可以直接给出具体的建议。但是如果从“经济不发达地区来的人就是口语差”，或者“个子矮的人就是没自信心来表达”，那几乎一定会制造矛盾。因为“口语表达”是可以改进的，加以锻炼将来肯定更好，而“不发达地区来的人”和“个子矮的人”就像烙印一样，是无法摆脱的。这种话说出来，对方哪怕有意愿改进，也会觉得无奈甚至恼怒。 种族歧视也是这样，“种族”同样是一种烙印，是无法摆脱的。所以当对某些人的判断与种族挂钩的时候，他或她必然感到无奈甚至愤怒。况且老话说“人上一百，形形色色；人上一万，千奇百怪”。哪怕是同一个种族的人，也可能在肤色、相貌之外完全找不到相同点。先入为主地用种族去对其他人下判断，无论是从情感反应上，还是从逻辑上，都是站不住脚的。 (more…)
去年初的时候，小朋友冰球俱乐部来了个新教练Robo。Robo来自加拿大，总是一副很健谈很乐观的样子，而且很喜欢放音乐，把整个训练场搞得热情四射。最关键的是，小朋友们好像都很喜欢他，不但许多动作耐心示范，对每个人的指导也相当到位。而且，他的英语很好，人又很喜欢开玩笑，所以我们交谈很多，他总是跟我说：“你家的小朋友超级酷的，不要给他太大压力，只要他自己运动起来足够自在，能够持续练下去，就是最好的。” 没想到的是，到去年9月份，Robo忽然神秘失踪了，没有任何征兆，也没有任何说明，就此人间蒸发了一般。问其他的教练，也是语焉不详。小朋友训练完，偶尔会失落地跟我说“好久没看到Robo了，不知道他哪里去了。” 3月份的时候，一个偶然的机会，我又见到了Robo，虽然当时时间很紧张，只是打了个照面，但我要他留下了联系方式。 当天晚上我问他：哥们，你怎么忽然就不见了，大家都很想你啊。 过会儿我收到他的回复：我也很想念小孩子们，你儿子很酷……我现在没在那个俱乐部了，因为其他几个教练总是或明或暗地针对我，仅仅因为我的肤色，这是我受不了的。 (more…)
注：原文发布于2023年1月16日 到1月份为止，我已经体验了几个月的全远程+共享空间办公了。有不少朋友听说之后很有兴趣，问我到底是什么感觉，所以我简单介绍下个人的体验。 背景 2019年末、2020年初开始在全球流行的Covid-19对远程办公来说，绝对是黑天鹅一般的存在。因为疫情导致的社交隔离措施，极大影响了各大公司的正常运转。 所幸，IT类公司受到的影响比较小，只要求员工“面对屏幕编程”，不必亲临现场。所以，许多IT公司也谨小慎微地开展了远程办公的试验。 从我所知道的结果来看，不少美国公司并不特别喜欢远程办公，比如Google，一旦社交隔离措施有所放松，就忙不迭要求员工回到办公室，盖因为公司认为远程办公严重影响合作效率。 与此相反，不少德国公司反倒是逐渐适应了远程办公的节奏，纷纷降低对员工“到办公室上班”的要求，许多公司甚至可以支持百分百的远程办公。 这里要提到的是，德国公司说的“远程办公”往往是货真价实的“远程”，而不是一些人理解的“家和办公室在同一个城市，只是不用去办公室”而已。 因为德国IT行业缺人严重，而且许多德国公司并没有那么“互联网”，而是依托实业开展业务，所以据我所知，目前不少公司非但没有裁员，反而都在大力招人。 (more…)
注：本文发布于2023年2月6日 最近硅谷几大公司都在裁员，看了些报道，被裁的员工真是不好过。损失经济来源不说，有些人还面临身份问题，这可真是屋漏偏逢连夜雨。 我也留意到，不少被裁的人会不停追问自己：为什么我会遇到这样的事情？为什么这样的不幸会降临到我头上？…… 实话说，我挺能理解这种态度。这挫折如此巨大，似乎又来得全无预兆，不由得让人对命运、对人生、对世界产生深重的怀疑。尤其是对已经走入社会，取得一定成就（如果非要抠字眼，那就用“进展”吧）的人来说，更是如此。 但是我更想说，如果被裁员了，当务之急是赶紧找到下一份工作，哪怕只是机械地行动。要知道，成年人找工作，容不下那么多愁善感。 我之所以这么说，是有切身经历为基础的。之前我讲过找德国工作的经历。最开始是信心十足的，因为虽然毕业多年，手艺没丢，基础还在，随时打开leetcode，中等难度题目基本都不在话下，不但能解对，解法也基本接近最优。既然网上都说“刷题就能找到工作”，估计自己应该没大问题。 没想到真的找起工作来，仍然充满了意想不到的挫折。如果不相信，我且举几个例子吧。 (more…)
虽然早就听说《园丁与木匠》是关于育儿的好书，但一直没开始读。最近终于翻开这本书，才发现属于“拿起就很难放下”的类型，加班加点读完，收获不少。 关于这本书的价值，已经有许多书评讨论过了，所以我想略过微言大义、长篇大论的叙述，谈谈我印象最深，也是最打动我的三点细节。 第一，儿童的学习方式 小孩子觉得拧螺丝很好玩，想自己动手拧一颗螺丝。于是，他打开了工具箱，对着琳琅满目的工具，他不知所措。一会儿摸摸钳子，一会儿试试扳手……这时候，旁边的父母应当怎么办？ 在大多数情况下，父母大概会直接告诉孩子，“亲爱的，你应该用螺丝刀，来，我告诉你”。耐心一点的父母，大概会潜心观察一段孩子的举动，再设法“引导”他到正确的工具上来。在父母眼里，孩子当然不可能一开始就找对正确答案，所以做各种尝试也是情有可原。但是另一方面，也不应该“在错误的路径上摸索太久，浪费时间”，应当“迅速识别出正确的答案”。 无论父母有多少耐心，在他们眼里，孩子找到拧螺丝的工具的过程，都是个“不断接近正确答案”的过程。这个过程越短，孩子就越“聪明”，或者说“学习效率”就越高。 (more…)
陈皓（Haoel，网名“左耳朵耗子”）上周六因为突发心梗去世了，享年47岁。 我跟他虽然聊过好些次，但只是微信好友，从未见过面。回看微信记录，当年稀松平常的一声“再见”，已经成了“再也不见”。 许多人在缅怀他，许多文章提到他的时候，会用到“骨灰级程序员”、“技术大牛”这样的称呼。但如果仅仅用这两个词描述他，断然难以解释，为什么他的突然去世，会引发互联网上怀念的狂潮。 所以，我更愿意按照自己的经验，把他描绘为“有坦诚追求，兼具趣味、操守、胸怀的技术人”。恰恰是因为这样的人在这个年代太稀少，而这些品质又让众多人赏识和受益，大家才会如此地怀念他。 这个年代，做技术（仅指狭义的IT）的人很多，愿意分享的人也不在少数，其中不少还可以算世俗意义上的“成功者”。 但是，若仔细去看他们分享的内容，总感觉不够真诚。总感觉作者希望往高深了靠，目的也没有那么纯粹。你若提一些小白问题，迎来的往往是“你怎么连这都不知道？”的反问，或者“要谈这个问题，你先去看几本书再说吧”。话是这么说没错，但无数的初学者也往往因此打了退堂鼓。 但是陈皓的分享不同。我已经不止一次地看到有人提起，他分享——更准确说，是“创作”——的内容质量很高，而且总能做到“深入浅出”。哪怕是小白读者，看完也确实能有收获，如果还有兴趣，更可以跟着文末的链接，顺藤摸瓜探究更广阔的世界。 这让我想起我佩服的一位记者说的：记者写文章的最高境界，就是不表达自己的观点，因为记者的观点应当来自于他的素材。只要把这些素材摆出来，读者读完报道，观点就自然形成了。要做到这一点，需要对素材有足够的信心和把握，外加真诚和坦荡。 能做到这一点的记者，着实不多。陈皓虽然不是记者，他写的技术文章却能让读者得到类似的结论——要知道，技术讨论往往是非常容易擦枪走火的——可见他运用素材和逻辑的功力，以及更重要的，他的真诚和坦荡。 (more…)