HTTPS 的 URL 是加密的吗
HTTPS 会加密路径、查询参数和 HTTP 内容，但 TLS 终止端仍可读取。域名是否暴露取决于 DNS 加密、ECH 与网络环境；IP、流量时序仍可能可见。
一句话回答：HTTPS 在客户端与 TLS 终止端之间加密 URL 路径、查询参数及 HTTP 内容，正常校验证书时，被动旁观者不能直接读取这些内容。但服务端、终止 TLS 的 CDN/代理以及获授权的解密代理仍能看到明文。传统 DNS 和未启用 ECH 的 SNI 可能暴露域名；加密 DNS 与 ECH 可减少这种泄露，但不隐藏目标 IP、流量大小和时序。
HTTPS 加密了什么
HTTPS 中 HTTP 数据由 TLS 保护，包括：
- URL 路径与查询参数（不包括默认不随 HTTP 请求发送的
#fragment） - 请求体（表单、JSON、上传的文件）
- 响应内容（页面、接口数据）
- Cookie、自定义 Header
中间人（运营商、公共 Wi-Fi 持有者、抓包者）即使截获流量，不能直接读到受保护的 HTTP 内容，但仍可分析 IP、密文长度与时序。
什么部分仍然可见
| 信息 | 是否加密 | 说明 |
|---|---|---|
域名 example.com |
视配置而定 | 明文 DNS、未使用 ECH 的 SNI 可能泄露；加密 DNS/ECH 各保护不同环节 |
| 目标 IP 与端口 | ❌ | 建连必需 |
| 路径与参数 | ✅ | 在 TLS 连接内加密；终止端可见，TLS 1.3 早期数据还有重放风险 |
| 请求/响应内容 | ✅ | |
| 流量大小与时间 | ❌ | 密文的体积、时序仍可被观察（流量分析） |
例外补充：TLS 1.3 + ECH（Encrypted Client Hello）可以把 SNI 也加密，需要客户端、DNS 配置和服务端共同支持；DoH（DNS over HTTPS）可以隐藏 DNS 查询内容，但目标 IP 依然可见。
实践含义
- 不要把机密放在 URL 里。 虽然传输加密，但 URL 会留在浏览器历史、代理日志、服务器访问日志里——access token、密码永远走请求体或 Header
- 日志系统收到的是明文路径。 Nginx 日志、APM 链路可能记录 URL，应先在应用或代理处避免写入令牌。使用观测云采集这类日志时，可在上报前配置 本地 Pipeline 处理敏感字段，并用包含查询参数和原始 message 的样本验证结果；中心 Pipeline 在上传后运行，不适合替代采集前脱敏。
- 证书过期可能导致校验失败。 应同时监控浏览器访问的边缘证书和回源证书，影响范围取决于证书部署位置
常见问题（FAQ）
Q：既然路径加密，为什么我公司网管还能看到我访问了什么页面？
A：两种可能：公司用了 TLS 中间人代理（在你电脑装了根证书，解密再转发）；或只通过 DNS/SNI/流量特征推断。前者能看到全部内容，后者不等于读取了明文路径，其推断也可能不准确。
Q：HTTPS 能防止钓鱼网站吗？
A：不能。HTTPS 只保证"你和证书持有者之间的通信加密"，钓鱼网站也可以申请合法证书。锁图标 ≠ 网站可信。
Q：URL 里的 #fragment 会发给服务器吗？
A：不会。# 之后的片段标识符只在浏览器本地使用，默认不作为 HTTP 请求目标发送；页面脚本仍可能读取它再上报，因此不能把 fragment 当成秘密保险箱。
核查依据
本文依据官方文档核对，示例未在实际业务环境运行；上线前请按部署版本、权限与数据范围验证。
