防止Fiddler拦截的应用

Question

如何防止我的HTTPS站点被Fiddler拦截？由于Fiddler甚至可以拦截HTTPS流量。

Answer 1

你可以从网站上做些什么来防止这种情况发生。 Fiddler在客户端上运行，如果用户有足够的权限运行它，那么作为Web开发人员就无法控制它。

Answer 2

简短的回答：你可以做的不是很多。

答案很长：Fiddler通过创建一个看起来像您正在与之交谈的网站的证书来拦截SSL流量。为此，Fiddler的用户必须install a trusted certificate authority。一旦在Fiddler上安装了此CA，代理就能够创建看似来自任何站点的“可信”SSL证书。

如果您无法控制客户端基础架构，那么您无能为力。如果这样做，您可以阻止人们安装受信任的证书颁发机构。

某些较大的网站（www.google.com）能够实施certificate pinning，但这需要特定的应用支持，并且不太适合您。