node.js - 如何为任何请求禁用 SSL 验证？

Question

我有一个 Node.JS 服务正在运行，我正在尝试从不同的系统进行连接。目前使用 POSTMAN 来测试服务。Postman 给出了一个错误 -There was an error connecting to https://lddbbtx.wdf......./index.xsjs. 现在，我通过禁用 Postman 中的“SSL 证书验证”选项重试了该请求，它似乎可以工作。我可以收到服务的响应。

但在生产中，我们将使用 Recast.AI 连接到此服务。在 Recast 中，它们提供了一种为 GET/POST 请求设置标头的方法。所以，我想知道，有没有办法在请求的标头中禁用 SSL 验证？

标签： node.jsapisslpostman

Answer 1

...有没有办法在请求的标头中禁用 SSL 验证？

服务器证书的验证在客户端完成。它在 TLS 握手期间完成，因此在发送任何 HTTP 请求之前完成。服务器不能触发禁用验证，否则中间攻击者可以简单地指示受害者不要检查证书。

一般来说 - 禁用验证甚至部分验证（例如检查 URL 中的主机名是否与证书匹配）是一个非常糟糕的主意。禁用证书验证后，传输仍然是加密的，但客户端不会检查它是否确实与预期的服务器通信。这样，攻击者可以进行简单的中间人攻击来冒充服务器，从而嗅探并修改所有流量。