如何看待网易邮箱至今登录界面没有https？
网易登录界面是http，但登录提交页面是https。看到不少人认为这样就安全了，不知道你到底是不是搞安全的，知不知道MITM的原理。 还有些人认为全站都用https就绝对安全了，我都会喷你一脸，估计sslstrip你都没听说过，hsts是不是都是画蛇添足了？xss更是没概念！07年的时候，网易邮箱的xss我一次就挖出来60多个。到如今，它这类问题还是层出不穷。后来还发现它json callback拉取用户信息的漏洞。这全都不是https能防御了的。还有一些“feature ”简直反人类至极，譬如你删除的邮件在某些情况下能恢复回来之类。 安全是个整体，不是说你加上某个功能就万事大吉了。然而安全遵循木桶原理，一个点做不到，就会各个击破！ 不过话又说回来，他们还算是个好邮箱，毕竟开放了这么多年，免费了这么多年。能坚持15年没搞关闭已经很难得了。 提交使用https，页面不使用https，我一直很疑惑这么做的原因。理论上来说，到达登录页面的人都是要去登录的，不会有太大开销影响，对cc攻击的防御力度也不大。 所以综合考虑，可能就是为了某些组织mitm方便而有意开的一个口子。