同步操作将从 docmirror/dev-sidecar 强制同步,此操作会覆盖自 Fork 仓库以来所做的任何修改,且无法恢复!!!
确定后同步将在后台操作,完成时将刷新页面,请耐心等待。
要回答这个问题需要先掌握下面两个知识点
当访问目标网站是https协议时,服务器会发送一个由根证书签发的网站ssl证书给浏览器,让浏览器用这个ssl证书给数据加密。
浏览器需要先验证这个证书的真伪,之后才会使用证书加密。
证书的真伪是通过验证证书的签发机构的证书是否可信,一直追溯到最初始的签发机构的证书(根证书)。
浏览器只需信任根证书,间接的就信任了这条证书链下签发的所有证书。
windows、mac、linux或者浏览器他们都内置了市面上可信的大型证书颁发机构的根证书。
本应用的实现原理如下图:
简单来说就是DevSidecar在本地启动了一个代理服务器帮你访问目标网站。
实际上就是 中间人攻击 的原理,只是本应用没有用它来干坏事,而是帮助开发者加速目标网站的访问。
当目标网站不需要加速拦截时,直接走TCP转发,不需要中间人攻击,没有安全风险,在此不多做讨论。
当目标网站需要拦截时(例如github),就需要通过中间人攻击修改请求或者请求其他替代网站,从而达到加速的目的。
例如加速github就需要修改如下几处
DevSidecar在第一次启动时会在本地随机生成一份根证书,当有用户访问github时,就用这份根证书来签发一份假的叫github.com的证书。 如果浏览器事先信任了这份根证书,那么就可以正常访问DevSidecar返回的网页内容了。
代理校验ssl
)。两段链路都是安全的,所以信任根证书没有问题。
但如果应用本身来源不明,或者拦截配置
里的替代网站作恶,则有安全风险。
对于应用来源风险:
请勿从未知网站下载DevSidecar应用,认准官方版本发布地址
Gitee Release
Github Release或者从源码自行编译安装
对于拦截配置里的替代网站风险:
- 尽量缩小替代配置的范围
- 不使用来源不明的镜像地址,尽量使用知名度较高的镜像地址
- 你甚至可以将其他拦截配置全部删除,只保留github相关配置
此处可能存在不合适展示的内容,页面不予展示。您可通过相关编辑功能自查并修改。
如您确认内容无涉及 不当用语 / 纯广告导流 / 暴力 / 低俗色情 / 侵权 / 盗版 / 虚假 / 无价值内容或违法国家有关法律法规的内容,可点击提交进行申诉,我们将尽快为您处理。