小红书 App 帖子的图片都是明文传输的，网络提供者可以完全看到你浏览的实际内容

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

可以手机抓包一下，就能看见小红书 App 的图片（可能包括视频等静态资源）都是使用的 http （纯明文也没有自己的加密），也就是说你的网络提供者可以看见你具体浏览了什么内容。

第 1 条附言 · 1 天前

很多人说静态资源用明文没什么，对普通用户没有影响，不过：
1.小红书主要是图片社区，图片明文等于整个帖子就是明文（小红书以图搜图可以直接精确定位帖子），如果你浏览了自己的帖子，你的账户就可以直接定位到。相当于知乎微博豆瓣贴吧你浏览的信息都是明文。所以还是比较惊讶的，因为测试了知乎和微博帖子内容无论图片还是文字都是加密的。
2.除了惊讶就是提醒一下，不止是网络运营商，比如你在公共 wifi 访问，或者使用他人热点，刷小红书就等于裸奔了。是需要注意一下的哈，以防别有用心的人利用了。

小红书

抓包

明文传输

127 条回复 • 2025-07-04 20:51:17 +08:00

1 2

❮

❯

defaqman

1 天前

卧槽不至于吧。

wuruxu

1 天前

这感觉有点过的，http 很容易被第三方随意更换的

nulIptr

1 天前

我听说 ios 早就强制全 app 都要走 https 了呀，刚才搜了一下叫 atp ，你说的这个有点离谱。

musi

1 天前

不是默认用的 https?

Rokaki

1 天前

是你抓包的时候全解密了吧

0o0o0o0

1 天前 via Android

@nulIptr 我用的安卓，iOS 具体有没有用不太清楚，安卓我测了一下就是走的 http ，具体域名是*.xhscdn.com ，这个 cdn 使用 http https 都可以访问，安卓 App 这边不知道出于什么原因，默认都是明文请求。

0o0o0o0

1 天前 via Android

@Rokaki 没有解密，也没有使用自己的根证书，抓包抓到的就是 http ，没有用 https ，不过我用的安卓，iOS 是不是强制 https 不太清楚

Shatyuka

1 天前 via iPhone

确实

vincentWdp

1 天前

@0o0o0o0 7# 那也太牛比了, 这都什么水货

myTrip

1 天前 via iPhone

卧槽

xmumiffy

1 天前 via Android

https 的 CDN 请求要额外加钱，开源节流了

putaozhenhaochi

1 天前 via Android

静态资源用 http 有啥问题吗

zlhsvc

1 天前

对大部分用户来说没啥影响，http 省钱

zekeluii

1 天前

@Shatyuka 請問，這是什麼工具？

liqingyou2093

1 天前

xhs 不行了呀，开始省钱了

refear99

1 天前

省钱啊，之前用阿里云 cdn 静态 https 的费用，一般占总费用的差不多一半了

1145148964

1 天前

路由器抓包怎么弄？

lingxiaoli

1 天前

@zekeluii #14 大概率是 loon

ca2oh4

1 天前

https 比 http 贵

coolcoffee

1 天前

可能小红书还巴不得当地运营商去做免费做缓存呢，像长城、早期的移动都有为了减少网间结算费用悄悄缓存的行为。

Shatyuka

1 天前 via iPhone

@zekeluii Loon

yxmyxmyyy

1 天前 via Android

正常，b 站视频默认也是 http ，你得去设置里面自己开启 https

EminemW

1 天前 via iPhone

不觉得有什么问题

wu67

1 天前

社交图片 http 其实无所谓.

反倒是有些银行, 他们的一些链接还是用的 http, 然后跑去检测手机 VPN 状态, 一旦检测到直接强行关闭银行 app...直到最近才把强行关闭改成了弹窗警告...

hello333

1 天前

静态资源啊，大哥，静态资源用 http 有什么问题吗？

llxvs

1 天前 via iPhone

我相信网络提供者（运营商）无论如何都可以看到你浏览的内容

nilaoda

1 天前

很正常，主流视频网站加载视频也都是 http ，没什么不安全的

fcten

1 天前

居然有这么多人觉得没问题的...

http 就是一个裸奔的协议，用户能看到什么东西全靠运营商自觉。我们之前遇到的问题有一大类就是 http 资源被运营商劫持导致各种各样的问题。

olaloong

1 天前

@wu67 #24 你这么一说，去更新了下邮储银行，果然不强行退出了，感谢提醒😂

billbur

1 天前

省钱，然后哪个运营商乱搞就敲一笔钱，开源节流？我乱说的

clf

1 天前

web 端倒是全 https……客户端全是 Http ？省钱？

nunterr

1 天前

大惊小怪，对于做安全来说 http\ https 区别不大，想看到你内容的人都能有办法看到

billlee

1 天前

@clf web 端现在混用 http 资源会触发警告吧

RonnieShanHa

1 天前

你能看到说明就不是普通用户了; 不是普通用户 2 者区别大哪里了还要付出额外的运维费用;

RonnieShanHa

1 天前

加解密都是要算力, 花 5 毛钱保护 1 毛钱的水贴不值当;

way2create

1 天前

那如果不是公开发布的，也这样么

skiy

1 天前 via iPhone

@clf web 端，https 无法显示 http 的资源的。

0o0o0o0

1 天前 via Android

@way2create 是的，只要是图片

Genieliu111

1 天前

@llxvs https 加密你怎么看浏览的内容？

Dora112233

1 天前

是不是 http 省点带宽费用

0o0o0o0

1 天前 via Android

@Dora112233 带宽和算力都省，而且如果用的第三方 cdn 比如阿里的 cdn ，https 是按量收费的，那就是直接省钱

freezebreze

1 天前

此事在鸵鸟算法中亦有记载

bojue

1 天前

@freezebreze 学习了新算法

ptstone

1 天前

@EminemW 我也觉得，看到就看到，能把我咋的，毫无影响啊

hanierming

1 天前

为什么会有人觉得静态资源用 http 没问题呢？浏览器现在 https 都无法加载 http 的静态资源了。。。

zhwq

1 天前

这个真正的问题不是裸奔，是会被劫持，你看美女，我给你换成黄网，你看求助我给你换成网贷。。。

Greenm

1 天前

很多人对于网络安全的认识仿佛还停留在大清。

HTTP 的资源除了泄露你浏览的内容和记录之外，还会被运营商劫持，流量劫持这个东西非常赚钱。

这就是为什么早期大家都用明文存储静态资源，而现在几乎看不到大中厂这样做了，哪怕贵一点麻烦一点，也必须全程 HTTPS 。

johnnyhao

1 天前

@Shatyuka 老哥这是哪个软件

Shatyuka

1 天前 via iPhone

@johnnyhao Loon

way2create

1 天前

@0o0o0o0 坑那照这么说只要上传了用到 xhscdn 哪怕是草稿箱没发布还是私密性设置都一样被会被看到了我虽然不怎么用 xhs 但也会搜搜东西印象 xhs 默认点发笔记第一步就是让你选照片的，没准这时候已经上传了

0o0o0o0

1 天前

@way2create 测试了一下，草稿箱不会上传

way2create

1 天前

@0o0o0o0 多谢测试反馈那好一些我还挺常手抖点错的

ala2008

1 天前

想问，HTTPS 还可以被拦截和篡改数据吗

yh7gdiaYW

1 天前

这东西就跟浏览器的浏览记录类似吧，但访问的完全是公开合法的内容，对我来说这类记录能不能抓到是无所谓的

salmon5

1 天前

我觉得倒不是 https 贵，而是 http 省了一些证书配置和客户端兼容问题（比例应该很少），这样对于负责这块的来说减少一些工作量

salmon5

1 天前

应该是为了省钱

clf

1 天前

@billlee 嗯嗯，压力是这个原因。

marvz

1 天前

测试了一下，还真是，无水印图片直接就看到了

katana97

1 天前

@salmon5 但是像图片这些资源应该都是 CDN 吧，并且上面也说了 http 和 https 都能访问，我觉得可能就是 http 的流量更便宜的原因

lisongeee

1 天前

意思就是说刷小红书帖子的时候，由于 http 可以被劫持

里面的图片可能会突然变成广告或者诈骗二维码图片

janus77

1 天前

我觉得最蛋疼的一点是小红书没有省流模式，默认只加载最高清晰度的图片和视频，没有设置项可以调，在我想省流量的时候调不了就很难受

duanxianze

1 天前

我觉得无所谓，你都发小红书了，肯定不是啥隐私，不过这么大的厂，这点成本都省，实属不应该

Bananana

1 天前

很神奇的是，居然小红书这么大的 App 能被随意抓包，都不验证书防中间人攻击的吗？？还不如我司的 App 。。。

harlanXue

1 天前

@wu67 我也发现改弹窗了，这是为什么，放松了？

bowencool

1 天前

@wu67 #24 银行的信息谁敢扒啊

pkoukk

1 天前

@Bananana 都 http 了哪来的证书啊

knightdf

1 天前

小红书本来就这水平

Hilalum

1 天前

@1145148964 tcpdump

fr13ncl5

1 天前

@ala2008 有自签名证书的话也行，不过那个一般就复杂了，android 上不 root 不行，ios 上没研究过估计也听难的

bbao

1 天前

知乎和微博帖子内容无论图片还是文字都是加密

早起也是明文的，起码中期也还是明文的

orangie

1 天前

在 iOS 上抓包试了一下，苹果这边小红书是 https 的 cdn 。

Tomatopotato

1 天前

对于图片视频来啥的确没啥问题啊.... 你说运营商劫持，这又不是 html ，移动客户端显示图片的组件也只能固定显示几个格式，能做的无非是替换内容... 如果真有劫持...首先看到这帖子不应该在 V2EX 而是在微博了

Celebi

1 天前 via iPhone

@wu67 #24 除了邮储还有什么银行

SaitoAsuka

1 天前

loon 抓包看 avatar 是 https ，其他图片是 http

Yadomin

1 天前

我记得以前 qq 的图片也是 http 的，不知道现在改没改

codersdp1

1 天前

@llxvs 还是得学习一个。

0o0o0o0

1 天前 via Android

@orangie 上面有人 iOS 抓包是 http ，就是发图片的那个

dem0ns

23 小时 58 分钟前

iOS 微信公众号文章封面也可以，没开 ssl 校验

avrillavigne

23 小时 57 分钟前

@fr13ncl5 iPhone 上 shadowrocket 可以生成根证书，添加信任即可

kaedea

23 小时 55 分钟前 via Android

这有啥，现在很多的视频 App 的播放器为了跨平台都是开 HttpServer ，同个局域网内你通过 HTTP 端口嗅探，甚至可以直接共享别人正在播放的短视频。

the1812

23 小时 34 分钟前

b 站也是，保存个图片因为是从 https 站点保存 http 资源，默认会被 Chrome 拦掉

ZhiyuanLin

23 小时 28 分钟前

http 如果想防劫持的话可以加入本地 sha256 校验就是……

Chingjyu

20 小时 33 分钟前 via iPhone

@ZhiyuanLin 如果下发的 sha256 也在 http 里被篡改了呢

busier

20 小时 27 分钟前 via Android

设备都属于终端沦陷设备了

纠结网络层意义不是很大

FanyFull

20 小时 20 分钟前

鱼皮们即将抵达战场。

beyondstars

20 小时 7 分钟前

帅锅给 AI 吧，就说是 AI 生成的，不是自己写的。

ETiV

20 小时 2 分钟前 via iPhone

科普一下：只要客户端能够做好校验机制、传输的内容不涉及敏感信息，用 http 是没问题的，特别是在传输大尺寸文件的时候。

Debian 内置的 apt 源，默认都是 http 协议，因为有签名机制。
PlayStation 、Switch ，无论是系统更新还是下载游戏，也都是 http ，因为有签名机制。

苹果可以让用户在自己的内网部署下载缓存，如果是用 https 的话根本做不到。
https://support.apple.com/zh-cn/guide/deployment/depde72e125f/web

因为浏览器没这套东西，所以一刀切用 https 才是靠谱的。

jayin

19 小时 32 分钟前

87 楼讲得对，客户端有校验机制就好了。

再举个例子吧，微信的消息其实就是 HTTP 协议，但是内容是加密的，能说他不安全吗？

早年运营商有内鬼，存在篡改 HTML 内容，加点跳转代码，卖流量盈利。但是这玩意是图片，难道帮你替换成引流二维码？从利益的角度，没啥什么动力篡改图片、视频。

从小红书的角度，用 http 至少省了 15% 的费用。