现在用手机App买菜、点餐、查健康码，几乎成了每天的日常。你可能没注意，这些操作背后，都是App在和服务器“悄悄对话”。而这种对话，基本都走的是HTTPS接口。为什么非得是HTTPS？这里面其实有不少门道。
为啥必须用HTTPS，不能用HTTP？
简单说，HTTP是明文传输，就像寄一张没封口的明信片，谁都能看内容。比如你在咖啡店连Wi-Fi，有人在同一网络下抓个包，你的登录信息、手机号就可能被偷走。HTTPS加了加密层，相当于把信装进带锁的信封，即使被截获也看不懂。所以现在主流应用商店上架，都强制要求App使用HTTPS通信。
证书信任是关键一环
App要连上HTTPS接口，第一步是确认对方“身份靠谱”。这靠的是SSL/TLS证书。大多数情况下，App会默认信任系统内置的可信证书颁发机构（CA）。只要服务器用的是正规机构签发的证书，连接就能顺利建立。
但有些企业内部系统或测试环境，用的是自签名证书。这时候普通App连上去会直接报错，提示“连接不安全”。解决办法是在App里手动配置信任该证书，或者把证书打包进应用资源中。不过这种方式只适合内网使用，公开上线千万别这么干。
代码层面怎么实现安全连接
以Android开发为例，如果你用的是OkHttp这类主流网络库，默认就支持HTTPS。但为了安全，建议显式配置信任机制。比如限制只信任特定域名：
OkHttpClient client = new OkHttpClient.Builder()
.certificatePinner(new CertificatePinner.Builder()
.add("api.example.com", "sha256/AAAAAAAAAAAAAAAAAAAAAAAAAAAAA=")
.build())
.build();这样即使中间人伪造了合法证书，只要指纹对不上，连接也会被拒绝，进一步防止钓鱼攻击。
别忽略系统版本兼容性
老版本安卓（比如6.0以下）自带的CA列表更新不及时，可能不认某些新签发的证书。这时候用户打开App会提示无法连接。开发者需要在文档里提醒用户升级系统，或者在必要时提供降级方案（仅限调试）。
日常使用中也能感觉到差异
你有没有遇到过这种情况：某个小众App突然连不上服务器，换个网络就好了？很可能是因为它还在用老旧的TLS版本，比如TLS 1.0，在某些运营商网络下已经被拦截。正规App一般都会支持TLS 1.2以上，确保通行无阻。
还有些App首次安装后提示“正在配置安全通道”，其实就是后台在做证书校验和密钥协商。这个过程虽然只花一两秒，却是整个通信安全的基础。
开发方和用户都要上点心
对开发者来说，别图省事用测试证书上线，定期检查证书有效期，避免某天突然大面积掉线。对普通用户而言，看到“此网站不安全”的提示别随手点“继续”，那可能是App或接口出了问题，继续使用有风险。
说到底，HTTPS不只是技术要求，更是对用户数据的基本尊重。下次你打开App刷朋友圈的时候，可以想想，那一行行加密数据，正默默保护着你的每一次滑动。