为什么Rails Gemfile默认为https，当http使捆绑包更快？

Question

gem文件中Rails的默认gems源是：

source 'https://rubygems.org'

将其更改为

source 'http://rubygems.org'

使捆绑安装更快，所以我试图了解将https作为默认值的决定背后的原因。有什么我需要注意的吗？

Answer 1

表格here：

  

切换到HTTP很危险。它打开你到MITM   攻击。切换到HTTP允许敌对方取代gem   内容与恶意内容。切换到HTTP不是   推荐使用。

Answer 2

使用HTTP会使您的应用程序和服务器容易受到攻击。假设某人提出了rubygems.org并将互联网上的某个节点重定向到他们的服务器，他们现在可以使用任意代码向您分发假宝石。 HTTPS通过提供某种形式的域验证和传输层安全性来降低此类攻击的风险。

Answer 3

它更安全。您正在安装宝石的地方可能是MITM攻击，正如其他人所说的那样。我相信这是一个很大的推动：

http://venturebeat.com/2013/01/30/rubygems-org-hacked-interrupting-heroku-services-and-putting-millions-of-sites-using-rails-at-risk/