早上打开手机，点开购物App准备下单，突然弹出一个提示：‘网络异常，请求失败’。你可能以为只是信号不好，但有没有想过，问题可能出在‘客户端请求’本身？
什么是客户端请求
简单说，就是你用手机App、网页或软件向服务器要数据的过程。比如登录账号、加载朋友圈、提交订单，背后都是一次次的请求。但这些请求传出去的时候，是裸奔还是穿了盔甲？这才是关键。
不加密的请求就像明信片
想象你写张明信片寄给朋友，内容谁都能看。如果客户端请求用的是HTTP，那和明信片没区别。你在咖啡馆连Wi-Fi，黑客用个工具就能抓到你的登录信息，甚至篡改内容。
现在很多App早就改用HTTPS了，数据会加密传输。你可以留意地址栏是不是有把小锁图标，或者请求头里有没有https://开头。这是最基本的安全底线。
光有HTTPS还不够
就算用了HTTPS，也不代表万事大吉。有些App为了省事，没做证书绑定（Certificate Pinning），攻击者伪造一个假证书，照样能中间人攻击。这就像你收到一封盖着假公章的信，看起来正规，其实早被调包了。
举个例子，某款老版本的银行App没做证书校验，用户连上伪装成机场Wi-Fi的热点，账户余额就被偷偷转走。这种案例不是没有。
请求参数也可能泄密
有些开发者图方便，把用户ID、token直接塞进URL里传。比如：
https://api.example.com/user?uid=12345&token=abcde正确的做法是把敏感信息放在请求体（Body）里，用POST提交，并且设置短期有效的token。就像你取快递不会把取件码贴在包裹外面，对吧？
别忽视本地存储的风险
有些App为了加快加载速度，把请求回来的数据存到手机本地。但如果没加密，一旦手机被盗或被root，这些数据就像抽屉没上锁，随便翻。
特别是涉及聊天记录、身份信息的App，更得小心。建议敏感数据用系统提供的安全存储机制，比如Android的Keystore或iOS的Keychain。
怎么判断一个App的请求是否安全
普通用户没法看代码，但可以观察几点：更新是否频繁（安全补丁通常随版本更新）、权限是否合理（一个手电筒App非要网络权限就很可疑）、有没有使用知名安全SDK（比如集成过安全厂商的防护模块）。
如果你是开发者，别偷懒。加HTTPS、做证书绑定、清理日志中的敏感信息，这些都不是选修课。
客户端请求安不安全，不取决于技术多炫，而在于细节有没有抠到位。毕竟，真正的安全，藏在你看不见的地方。