第三点，证书验证。大部分App在开发的时候会忽略证书的检查，当被劫持和出现伪造证书的时候也很难发现。谷歌play发布了两个安全警告，声明如果不解决证书验证中存在的问题是不能上线的。建议在做证书验证的时候考虑以下四个纬度。

第一个是证书提供的域名和访问的域名是否一致；第二个是访问的时间和证书有效期对比；第三个是证书链的签名检查；还有一个是证书有效性的验证。最后，还可以监控一下当前的服务站证书是否存在伪造（伪造证书有一个前提，必须配合DNS劫持、链路劫持或客户端劫持），如果一旦出现被劫持，就可以篡改用户的请求，窥探用户的隐私。

最后看一下HTTPS的应用实践问题，张老师说，团队在开发的时候就要有自动纠错，自动降级的自我保护意识。其次是上线的验证，分级发布，回滚预案等；第三，常态的监控和报表；第四、容量保证以及异常流量的检查。是否考虑HTTPS协议降级呢？从互联网发展趋势来看，张老师建议是提供好服务，不降级。