如何将 gzip 与 SSL 或任何替代方案一起使用？答案

【问题标题】：How can I use gzip with SSL, or any alternatives?如何将 gzip 与 SSL 或任何替代方案一起使用？
【发布时间】：2017-01-08 17:09:56
【问题描述】：

Google 现在将 HTTP 视为不安全的（检查 here），并且在 Chrome 中，如果我们访问 HTTP 站点，我们会看到警告消息。现在我们有了免费的 SSL，让我们加密。所以我假设，我们肯定会为几乎所有服务器使用 HTTPS。

然后我发现，使用带有 SSL 的 gzip 存在一些安全问题，称为 Breach Attack。那么，我真的很想知道，我们如何在使用 SSL 的同时达到 gzip 的目的？

特别是在 Angular 上，在构建时，它的尺寸相当大；现在，我有与 @angular 相关的主要文件、与 CSS/SCSS/Webpack 捆绑的任何东西相关的样式文件、与外部 javascript 文件相关的脚本文件。对于我的应用案例，如下所示（Angular 2.3.1，AoT，生产构建）；

main.js: 739K
main.js.gz: 151K
styles.js：394K
styles.js.gz: 100K
scripts.js：1.8M
scripts.js.gz: 415K

对于主文件和样式文件，没有 gzip 似乎没问题。但是对于脚本文件的情况，没有gzip真的很大。 1.8 MB...对于移动设备来说肯定很重。

但我的应用程序使用 WebRTC，它需要 HTTPS。所以这对我来说有点卡住了。有什么好的解决办法吗？

【问题讨论】：

另见stackoverflow.com/questions/30266931/…

标签： ssl gzip

【解决方案1】：

BREACH 攻击仅对包含攻击者喜欢猜测的秘密（如 CSRF 令牌）以及攻击者控制的数据反映在内容中的内容的问题。静态 Javascript 文件和其他静态文件没有此属性，因此可以安全地压缩它们。另见Is gzipping content via TLS allowed? 或Current State of BREACH (GZIP SSL Attack)?

【讨论】：