你每次在浏览器地址栏敲下那个小锁图标的时候，其实是在跟一个看不见的加密管道打交道。https的全称是HyperText Transfer Protocol Secure，翻译过来就是“安全的超文本传输协议”。但别被这串术语唬住，它干的事说白了就两件：加密你的数据，验证网站的身份。
我举个例子。你咖啡店里连免费WiFi，顺手刷了下银行APP。要是没有https，你输入的密码就像写在明信片上寄出去——沿途每个路由器、每个蹭网的人都能瞄一眼。而有了https，你的密码会被搅成一团乱码，就算被截获，对方看到的也只是“&%#@*”这样的鬼画符。这感觉就像把明信片换成了带密码锁的保险箱，快递员只负责搬运，根本打不开。
那这个加密是怎么实现的？简单说，你的浏览器和网站服务器之间要先“握手”——互换一把钥匙。这把钥匙不是普通的铁钥匙，而是用数学算法生成的一对“公钥”和“私钥”。公钥谁都能拿，但私钥只有服务器自己藏着。你发消息时用公钥上锁，服务器收到后用私钥解锁。整个过程叫TLS握手，耗时不到一眨眼的功夫，但你感觉不到它存在，就像你感觉不到电线的交流电频率是50赫兹一样。
不过https还有个更扎心的功能——它管着网站的“身份证”。你打开一个钓鱼网站，它页面做得再像银行，只要地址栏没有那个锁，或者锁是灰色的甚至带斜杠，那基本可以断定是冒牌货。去年我收到一条短信，说我的信用卡逾期，链接长得跟真银行一模一样，我差点就点了。后来仔细一看，网址前缀是http而不是https，瞬间清醒。这年头，骗子能复制你的页面，但复制不了你的加密证书——那个证书是由权威机构（比如CA）颁发的，相当于网站的“营业执照”，想拿到得经过严格审核。
有人可能会问：既然https这么好，怎么还有网站用http？答案很现实——https要花钱，要配置服务器证书，还要消耗一点运算资源。对小站长来说，多花那几十块钱不如省下来买杯奶茶。但谷歌从2017年开始，把所有http页面标记为“不安全”，逼着整个行业升级。现在你随便打开一个正经网站，基本都带锁了。我公司楼下那家打印店，连个预约系统都上了https，虽然它只是收集你的手机号。
最后说个反常识的事：https不是万能的。它保护的是传输过程，但管不了你手机里的木马，也管不了网站服务器本身被黑。就像你把信锁进保险箱，但寄信的人如果是个骗子，那保险箱反而成了掩护。所以下次看到那个小锁，别急着放松警惕——它只是告诉你这条路安全，至于路那头站着谁，还得你自己多留个心眼。