TLS是为通信提供机密性、完整性和对端认证能力的协议。HTTPS 是 HTTP 在 TLS 等安全传输机制之上的使用方式。
握手与身份
以 TLS 1.3 为例，握手协商密码参数并建立密钥；证书及相应验证帮助客户端确认服务器身份。客户端认证可按场景另行配置，不能认为每条 TLS 连接都使用双向证书认证。
保护范围
TLS 保护传输路径，不能保证应用收到的数据符合业务规则，也不能替代服务端权限检查。证书验证、主机名验证或密钥管理失误会削弱保护。
HTTPS 不等于应用无漏洞；加密后的恶意请求仍需由应用正常校验和授权。