ruby-on-rails - 当 http 使打包程序变得如此之快时，为什么 Rails Gemfile 默认为 https？

Question

gem 文件中 Rails 的默认 gems 源是：

source 'https://rubygems.org'

将其更改为

source 'http://rubygems.org'

使捆绑安装速度更快，因此我试图了解将 https 设为默认值的决定背后的原因。有什么我需要注意的吗？

score 4 · Accepted Answer

切换到 HTTP 是危险的。它使您容易受到 MITM 攻击。切换到 HTTP 允许敌对方将 gem 内容替换为恶意内容。不建议切换到 HTTP。

score 2 · Accepted Answer

使用 HTTP 会使您的应用程序和服务器容易受到攻击。假设有人冒充 rubygems.org 并将互联网上的某个节点重定向到他们的服务器，他们现在可以使用任意代码向您分发假宝石。HTTPS 通过提供某种形式的域验证和传输层安全性来降低此类攻击的风险。

score 1 · Accepted Answer

它更安全。正如其他人所说，您安装 Gems 的地方可能是 MITM 攻击。我相信的巨大推动力来自于：

3 回答 3