我是否需要强制从移动应用程序使用 HTTPS 到 API？

Question

如果我的移动应用仅使用 HTTPS 向我的 API 发出请求，我是否需要担心强制 HTTPS/disallowing HTTP 请求？

Answer 1

是的，你知道。 TLS 容易受到称为 Downgrade Attack. So be sure to force it to be HTTPS using HSTS (HTTP Strict Transport Security) 的影响，并且在您的应用程序服务器中不允许正常的 HTTP 请求。